大型企業(yè)集團網(wǎng)絡(luò)與信息安全系統(tǒng)保密總體方案設(shè)計及策略

1、文檔實用大型企業(yè)集團網(wǎng)絡(luò)與信息安全保密總體方案及策略時間：2011-07-1309:04:12評論：0我要投稿字體：小大1、大型企業(yè)集團的網(wǎng)絡(luò)與信息安全保密工作現(xiàn)狀與分析1.1大型企業(yè)集團網(wǎng)絡(luò)與信息系統(tǒng)安全保密工作現(xiàn)狀經(jīng)過對國內(nèi)大型企業(yè)集團的了解和分析得知，國內(nèi)大型企業(yè)集團的網(wǎng)絡(luò)和信息化部有一些共性。大型企業(yè)集團一般擁有自己國內(nèi)或國際的廣域網(wǎng)，一般集團總部和各分部/分企業(yè)集團都有單獨的互聯(lián)網(wǎng)出口。集團和自已的上下游的合作伙伴會通過專線或互聯(lián)網(wǎng)交換信息（見圖1）。企業(yè)集團這種網(wǎng)絡(luò)架構(gòu)存在互聯(lián)網(wǎng)出口多、安全性低，信息孤島、OA等應(yīng)用需要整合等典型問題。同時企業(yè)和合作伙伴的聯(lián)網(wǎng)安傘也需要考慮。集團信

2、息安全系統(tǒng)主要是由防火墻、入侵監(jiān)測和病毒防范等組成，這種方法造成安全投入不斷增加、維護與管理更加復(fù)雜、信息系統(tǒng)的使用效率大大降低、對內(nèi)部沒有防范，對新的攻擊入侵毫無防御能力（如沖擊波、振蕩波）等一系列問陋。目前企業(yè)集團急需一套完整的符合國家信息安全保障工作要求的安全保密方案。人龍刎困I企業(yè)集國用絡(luò)理牌M/W2CTCCCM1.2大型企業(yè)集團信息網(wǎng)絡(luò)的安全隱患1.2.1 互聯(lián)網(wǎng)的安全使用問題由于互聯(lián)網(wǎng)使用的廣泛性、接入手段的多樣性（modem撥號、以太網(wǎng)卡、實用無線網(wǎng)卡、藍牙、紅外等等）、應(yīng)用的復(fù)雜性以及攻擊行為的隱蔽性（蠕蟲，病毒、木馬、僵尸等等），近年來我國已發(fā)生多起嚴重的網(wǎng)上失、竊密案件。威

3、脅互聯(lián)網(wǎng)安全的因素包括“黑客”的入侵，計算機病毒，數(shù)據(jù)“竊聽”和攔截等方面。企業(yè)集團內(nèi)同樣存在因廣泛使用互聯(lián)網(wǎng)而可能發(fā)生的核心企業(yè)秘密外泄的嚴重風險。因此，必須采用有效的技術(shù)手段，加強監(jiān)督管理，規(guī)范互聯(lián)網(wǎng)的使用，以達到保護國家秘密和集團企業(yè)核心秘密的目的。1.2.2 終端安全問題隨著企業(yè)信息網(wǎng)的對外開放，終端數(shù)量的日漸龐大，使企業(yè)信息網(wǎng)正在承受來自互聯(lián)網(wǎng)的各種信息安全威脅，如網(wǎng)絡(luò)蠕蟲、安全攻擊，垃圾郵件等。企業(yè)網(wǎng)終端沒有統(tǒng)一的管理，病毒庫不能得到嚴格升級，每臺終端上的操作系統(tǒng)安全漏洞補丁不能得到及時更新，這些威脅都會嚴再影響企業(yè)內(nèi)部網(wǎng)絡(luò)的安全使用，并進一步威脅企業(yè)的健康發(fā)展。在現(xiàn)有網(wǎng)絡(luò)架構(gòu)下，

4、只要接入集團的一臺終端感染網(wǎng)絡(luò)病毒，就可能導(dǎo)致往有數(shù)千臺終端的網(wǎng)絡(luò)內(nèi)爆發(fā)蠕蟲病毒，網(wǎng)絡(luò)中會充斥大量的無用數(shù)據(jù)包，占用幾乎全部的網(wǎng)絡(luò)設(shè)備資源和帶寬，導(dǎo)致真正的應(yīng)用數(shù)據(jù)包無法被傳輸，甚至出現(xiàn)交換機由于CPUPJ用率過高而近似死機的現(xiàn)象。因此，必須對集團網(wǎng)絡(luò)從交換機終端即網(wǎng)絡(luò)邊緣開始進行安全控制。1.2.3 Web應(yīng)用系統(tǒng)分級授權(quán)控制問題企業(yè)集團一般授權(quán)系統(tǒng)比較單一，需要建立分級授權(quán)系統(tǒng)對應(yīng)用系統(tǒng)進行保護，主要包括：（1）邊界權(quán)限控制：各企業(yè)集團內(nèi)部上頁屬于內(nèi)部辦公平臺，必須受限訪問。（2）重要模塊控制：各企業(yè)集團內(nèi)部主頁有企業(yè)秘密信息模塊，也有公開信息模塊。企業(yè)秘密信息模塊包括OA系統(tǒng)、競爭情報、

5、工作報告、會議紀要、科技成果、管理課題研究等內(nèi)容。應(yīng)加強對企業(yè)秘密信息模塊的保密管理，依據(jù)工作分工、分級授權(quán)進行訪問控制和管理。1.2.4 文件保護問題由于企業(yè)集團內(nèi)部網(wǎng)絡(luò)監(jiān)控的缺位，目前存在以下內(nèi)部泄密途徑：（1）內(nèi)部人員將資料通過移動存儲介質(zhì)從電腦中拷出帶走；（2）內(nèi)部人員通過互聯(lián)網(wǎng)將資料通過電子郵件發(fā)送給外部人員；（3）將文件打印后帶出。（4）將辦公用便攜式電腦直接帶回家中，（5）電腦易手后，硬盤上的資料沒有處理；文檔實用（6）隨意將文件設(shè)成共享，導(dǎo)致非相關(guān)人員獲取資料；（7）移動存儲介質(zhì)設(shè)備共用，導(dǎo)致非相關(guān)人員獲取資料；（8）將私人便攜式電腦帶到企業(yè)集團，接入局域網(wǎng)，竊取資料；（9）開

6、啟同事電腦，瀏覽、復(fù)制同事電腦里的資料。此外，還有很多其他途徑可以被別有用心的內(nèi)部人員利用以竊取資料。1.2.5 移動存儲介質(zhì)和設(shè)備管理問題越來越多的敏感信息、秘密數(shù)據(jù)和檔案資料被存貯在移動存儲介質(zhì)里，給企業(yè)信息資源管理帶來相當人的安全隱患。企業(yè)集團移動存儲介質(zhì)使用管理中存在的問題主要包括：非法拷貝敏感信息和涉密信息到移動存儲介質(zhì)中；企業(yè)外部移動仔儲介質(zhì)未經(jīng)授權(quán)在內(nèi)部使用；企業(yè)內(nèi)部移動存儲介質(zhì)及信息資源被帶出，在外部非授權(quán)使用；存貯征媒體中的秘密信息在聯(lián)網(wǎng)或人工交換時被泄露或被竊取；處理廢舊移動存儲介質(zhì)時，末做信息清理；存有秘密信息的介質(zhì)不經(jīng)處理或任無人監(jiān)督的情況下被帶出修理；存有秘密信息的存

7、儲介質(zhì)失竊；秘密信息和非秘密信息放在同一介質(zhì)上。另外公私混用，存在一定安全隱患。1.2.6 涉密文件的等級保護問題如果將涉密文件以明文方式存儲在涉密存儲介質(zhì)中，一旦涉密存儲介質(zhì)（硬盤、移動硬盤、U盤、筆記本電腦）意外遺失或者被盜，或者存儲在上面的涉密信息被惡意通過網(wǎng)絡(luò)發(fā)送出去，則可能造成涉密信息的泄漏。必須采用一定的技術(shù)于段，根據(jù)涉密文件的級別，以不同等級自動進行文件加密，使涉密存儲介質(zhì)中存儲的文件為密文，即使涉密存儲介質(zhì)被盜或意外遺失，或者被惡意外泄，也不至于造成直接泄密的重大損失。1.2.7 郵件加密及歸檔審計企業(yè)集團一般用戶自主郵件恢復(fù)功能只能恢復(fù)30天之內(nèi)的數(shù)據(jù)。且有一定的限制，無法查

8、詢和監(jiān)督更長時期內(nèi)的歷史郵件。據(jù)調(diào)查顯示，目前全球范圍內(nèi)正式實行郵件歸檔系統(tǒng)的企業(yè)并不多，在我國企業(yè)中真正實施郵件歸檔的企業(yè)更是少之又少。與國外企業(yè)對郵件歸檔的認識不同的是，對于國內(nèi)的企業(yè)負責人來說，也許他們更關(guān)心的是企業(yè)中的機密文件是否會被不軌員工利用電子郵件外泄。因此，必須采用一定的技術(shù)手段，實現(xiàn)郵件加密傳輸以及對郵件進行歸檔審計。利用郵件系統(tǒng)歸檔功能，可以根據(jù)企業(yè)集團工作需要查詢和監(jiān)督用戶利用企業(yè)集團的郵件平臺收文檔實用發(fā)的電子郵件，尤其是公務(wù)郵件，對知識產(chǎn)權(quán)的保護具釘現(xiàn)實意義。1.2.8 網(wǎng)絡(luò)涉密傳輸對于涉及氽業(yè)集團或國家秘密的數(shù)據(jù)傳輸，傳輸通道必須加密，以保證特殊條件下信息不被輕易竊

9、取。2、網(wǎng)絡(luò)與信息安全保密建設(shè)總體方案2.1 總體目標大型企業(yè)集團網(wǎng)絡(luò)與信息安傘保密工作的總體目標可以定義為：針對集團網(wǎng)絡(luò)及信息安全保密需要，構(gòu)建系統(tǒng)的安全保密技術(shù)和防護策略及其措施，通過制度管理和技術(shù)防范，雙管齊下，規(guī)范員工行為，以達到網(wǎng)絡(luò)和信息資產(chǎn)安全的總體目標。最終達到“外人進不來，進來之后看不到，看到了拿不走，拿走了用不了，操作了可追溯”的效果。2.2 總體要求對于網(wǎng)絡(luò)與信息保密工作而言，管理方法和技術(shù)手段同等重要，缺一不可。只重視管理流程，缺乏足夠的技術(shù)手段，信息安全保密工作就只能取決于執(zhí)行者自身的政治覺悟。對于覺悟不高者而言，容易流于形式，只審視技術(shù)手段。不加強管理，信息安傘保密工

10、作就容易受到輕視，技術(shù)手段反而成為絆腳石，安全保密工作無法有效開展。安全，特別是信息安全是一個系統(tǒng)工程，在這個系統(tǒng)工程中，體現(xiàn)著“三分技術(shù)，七分管理”。2.3 管理改進大型企業(yè)集團應(yīng)建立網(wǎng)絡(luò)與信息安全保密組織，制定相關(guān)的管理制度，大力宣傳信息保密工作的重要性。最大程度地保護企業(yè)的各種秘密信息。具體工作任務(wù)包括：（1）根據(jù)企業(yè)集團信息保密工作的具體要求建立適合本企業(yè)集團或部門的電子信息保密規(guī)定，建立可操作的工作制度。（2）對本企業(yè)集團有涉密信息的部門劃分級別，對用戶的電腦進行嚴格的安全配置，例如禁止使用USEB、只能登錄特定的電脯等；（3）用戶不明確信息是否涉密時，由保密工作部門進行甄別；（4）

11、為信息技術(shù)管理部門提供有關(guān)信息保密管理、技術(shù)改進、提升與完善的具體建議；（5）對本企業(yè)的員工進行信息保密培訓(xùn)與教育；（6）對涉密信息的交流與傳遞進行監(jiān)督；（7）協(xié)助安全部門對違反保密規(guī)定的信息泄漏事件進行調(diào)查、取證。（8）與審計部門配合，定期或不定期對本企業(yè)集團的信息保密工作進行審計；（9）定期或不定期向企業(yè)高層與文檔實用集團信息保密工作組報告本企業(yè)集團的信息保密工作情況。2.4 總體方案2.4.1 建立網(wǎng)絡(luò)分區(qū)分級管理目前，企業(yè)集團的整個信息網(wǎng)絡(luò)是一個整體，沒有內(nèi)、外網(wǎng)之分以及保密專網(wǎng)，網(wǎng)絡(luò)結(jié)構(gòu)存在安全隱患。為了提高信息安全性，根據(jù)信息的密級，結(jié)合工作的需要，對信息網(wǎng)絡(luò)進行分區(qū)分級管理。從長

12、遠看，企業(yè)集團網(wǎng)絡(luò)應(yīng)該分為困密網(wǎng)、專用網(wǎng)、外網(wǎng)、辦公內(nèi)網(wǎng)四個安全區(qū)，如圖2所示。對于安全區(qū)內(nèi)的系統(tǒng)根據(jù)審要性進行分級管理。MOttwa二ffl2企業(yè)梟團網(wǎng)絡(luò)分區(qū)示詢的2CTO.COM2.4.2 建立網(wǎng)絡(luò)安全準入系統(tǒng)在企業(yè)集團范圍內(nèi)建立終端安全防護和全面的網(wǎng)絡(luò)準入控制系統(tǒng)，實現(xiàn)如下目標：(1)網(wǎng)絡(luò)準入控制。工作站必須符合定義的安全策略(例如安裝了指定的防病毒軟件、更新了病毒特征代碼、安裝了最新的微軟補丁等)才能夠接入網(wǎng)絡(luò)，實現(xiàn)自動修復(fù)以及用戶和設(shè)備的認證，保證網(wǎng)絡(luò)上所有終端都是健康的。(2)應(yīng)用程序控制。只有指定版本的軟件才能夠訪問網(wǎng)絡(luò)資源，禁止用戶私自安裝的軟件或木馬程序、蠕蟲訪問網(wǎng)絡(luò)。文檔實

13、用(3)基于用戶/組的訪問控制策略?？梢詫Σ煌某蓡T企業(yè)集團、部門、承包商、項目組、第三方接人人員采用不同的網(wǎng)絡(luò)訪問控制策略，構(gòu)建集中管理的分布式防火墻體系。2.4.3 實施Web應(yīng)用分級授權(quán)控制系統(tǒng)隨著企業(yè)集團業(yè)務(wù)的發(fā)腰和集團各部門之間信息交流的增多，因估息系統(tǒng)建沒周期較長、系統(tǒng)眾多，技術(shù)架構(gòu)趨于復(fù)雜，需要一套靈活的、易于管理的Web應(yīng)用授權(quán)控制系統(tǒng)。新的Webg權(quán)系統(tǒng)作為企業(yè)集團內(nèi)部Web用統(tǒng)一的授權(quán)服務(wù)平臺，為企業(yè)門戶任應(yīng)用層面提供信息瀏覽的安傘保障，滿足企業(yè)在業(yè)務(wù)需求不斷發(fā)展的過程中產(chǎn)生的信息安全方面的需要。同時，該系統(tǒng)也可以作為一項獨立的安全服務(wù)，為以后的集團門戶系統(tǒng)提供強有力的支撐

14、。2.4.4 建立企業(yè)電子文件保護平臺建立企業(yè)集團范圍的電子文件保護平臺，解決如下問題：(1)按需對涉密電子文件進行加密。(2)單一或組合授予用戶閱讀，打印、復(fù)制、編輯等權(quán)限。(3)對于脫離受控環(huán)境的電子文件，可以限制其只能在特定的計算機上使用；或設(shè)置其可讀取的次數(shù)和有效期限。(4)與各類信息系統(tǒng)進行集成。使得這些信息系統(tǒng)具備電子文件保護能力，并且不會改變系統(tǒng)的原有流程。(5)無論使用U盤、移動硬盤、還是通過Email發(fā)附件的方式，在受控環(huán)境之外不能有效使用經(jīng)保護的涉密電子文件。(6)關(guān)注電子文件本身，而不是層出不窮的各類電子設(shè)備和文件載體。2.4.5 移動存儲設(shè)備的使用管理移動存儲設(shè)備應(yīng)分密

15、級使用，并必須保證密級文件的安全。移動存儲設(shè)備應(yīng)根據(jù)所保存的涉密內(nèi)容。分級別進行登記和管理；采取技術(shù)手段，禁止未經(jīng)許可的U盤在涉密計算機上進行使用，保證經(jīng)過許可的U盤在涉密計算機上能正常使用，保證存儲涉密文件的U盤丟失后不造成內(nèi)容泄密。2.4.6 涉密文件安全等級保護(1)所有文件只能任內(nèi)部才能使用。即使被惡意通過互聯(lián)網(wǎng)發(fā)出去，或文檔實用者通過U盤拷貝出去，文件不能被正常讀取。(2)對文件征內(nèi)部的流轉(zhuǎn)進行等級劃分。密級文件只能在具備相應(yīng)或更高密級的計算機上才能被讀取。(3)文件以密文的方式在內(nèi)部流轉(zhuǎn)，即使在流轉(zhuǎn)過程中被竊取，也不會造成重大泄密。(4)對加密文件進行解密時，必須得到明確的授權(quán)。(

16、5)文件的整個流轉(zhuǎn)過程具備完整的審計日志。2.4.7 實現(xiàn)郵件加密及歸檔審計建立公開密鑰基礎(chǔ)設(shè)施(PKI)證書系統(tǒng)，要求部門經(jīng)理以上用戶采用PKI/CA(CA證書)郵件加密與數(shù)字簽名的方式增加郵件系統(tǒng)訪問的安全性。建立歸檔機制，自動、實時地對現(xiàn)有郵件系統(tǒng)中的郵件進行分類存儲。終端用戶刪除郵件不會造成系統(tǒng)中數(shù)據(jù)的丟失。管理員可以根據(jù)需要隨時根據(jù)各種條件進行檢索。2.4.8 網(wǎng)絡(luò)涉密傳輸采用內(nèi)置國家密碼管理局認證硬件加密卡的網(wǎng)絡(luò)加密機(VPN)進行數(shù)據(jù)傳輸通道的加密。即采用密碼技術(shù)在公用網(wǎng)絡(luò)中開辟出專用的隧道，形成專用網(wǎng)絡(luò)，主要用于解決公共網(wǎng)絡(luò)中數(shù)據(jù)傳輸?shù)陌踩珕栴}，保證內(nèi)部網(wǎng)中的重要數(shù)據(jù)能夠安全地

17、借助公共網(wǎng)絡(luò)進行交換。3、網(wǎng)絡(luò)與信息安全保密技術(shù)基本實施策略根據(jù)大型企業(yè)集團網(wǎng)絡(luò)與信息安傘保密總體方案，從六個方面加強安全保密技術(shù)措施，構(gòu)建系統(tǒng)的安全保密防范體系。主要內(nèi)容包括：網(wǎng)絡(luò)安全準入、移動介質(zhì)注冊管理、電子文件加密保護、內(nèi)部網(wǎng)頁授權(quán)管理、國際互聯(lián)網(wǎng)應(yīng)用管控、操作日志和郵件歸檔審計等。3.1 網(wǎng)絡(luò)安全準入策略內(nèi)容：對終端電腦實行注冊管理，接入企業(yè)集團網(wǎng)絡(luò)時需進行設(shè)備和賬號雙重認證控制。首先，通過系統(tǒng)后臺驗證終端電腦是否已在企業(yè)集團注冊，是否符合安全標準(安裝準入客戶端和指定病毒防火墻)，驗證合格后方允許接入系統(tǒng)；其次，用戶輸入賬號、密碼，經(jīng)身份驗證后方可訪問內(nèi)部信息資源。非注冊終端設(shè)備或

18、非授權(quán)賬號不能接入內(nèi)部辦公網(wǎng)絡(luò)，非安全終端設(shè)備(染毒)訪問內(nèi)部辦公網(wǎng)絡(luò)資源時受限。文檔實用解決問題：網(wǎng)絡(luò)人口控制。防范非法接入網(wǎng)絡(luò)；降低網(wǎng)絡(luò)被病毒感染和攻擊的概率。3.2 移動介質(zhì)注冊管理策略內(nèi)容：對移動存儲介質(zhì)(U盤、移動硬盤等)的使用進行注冊管理。已注冊移動存儲介質(zhì)在企業(yè)集團內(nèi)網(wǎng)、工作電腦上可正常使用和交換數(shù)據(jù)；在外網(wǎng)或外部設(shè)備中，只有將移動存儲介質(zhì)設(shè)置為商旅模式并輸入密碼后方可使用；非注冊移動仔儲介質(zhì)中的電子數(shù)據(jù)可拷貝至企業(yè)集團內(nèi)網(wǎng)、工作電腦上，企業(yè)集團內(nèi)網(wǎng)、工作電腦上的電子數(shù)據(jù)不能拷貝到非注冊移動存儲介質(zhì)上；因工作需要向企業(yè)集團以外的電腦中拷貝電子數(shù)據(jù)時，經(jīng)保密審查后,統(tǒng)一由企業(yè)集團或

19、部門機要員將移動存儲介質(zhì)設(shè)置為商旅模式并進行解密；對注冊移動存儲介質(zhì)中資料的所有更改、轉(zhuǎn)移、交換、解密等行為，進行后臺記錄，作為審計依據(jù)。解決問題：防范電子文件通過移動介質(zhì)拷貝泄密，防范移動介質(zhì)遺失造成失、泄密。3.3 Web網(wǎng)頁授權(quán)管理策略內(nèi)容：對企業(yè)集團內(nèi)部主頁進行三級授權(quán)管理。第一級為整個豐頁的訪問授權(quán)；第二級為主頁內(nèi)欄目或業(yè)務(wù)系統(tǒng)的訪問授權(quán)，第三級為應(yīng)用程序授權(quán)。各級授權(quán)管理分別由網(wǎng)頁、欄目、業(yè)務(wù)系統(tǒng)的用戶應(yīng)用管理員負責。解決問題：按授權(quán)范圍查閱、利用網(wǎng)絡(luò)信息資源，在安全范圍內(nèi)進行成果交流。3.4 電子文件加密保護策略內(nèi)容：禁止在企業(yè)集團網(wǎng)絡(luò)上存儲、處理、傳輸涉及國家秘密的電子文件、信

20、息，對涉及企業(yè)秘密的電子文件、信息進行加密保護。豐委包括以下三個方面：(1)對網(wǎng)頁中需要保護的附件電子文件進行加密，根據(jù)需要對附件的查閱、修訂、復(fù)制、下載、打印等權(quán)限進行控制。(2)對部門或個人的最終成果類電子文件提供網(wǎng)絡(luò)存儲、備份管理審問，提供基于加密和授權(quán)保護的共享利用手段，進行成果管理和共享。設(shè)置個人文件夾備份保管個人成果文件，設(shè)置部門成果文件夾存儲保管部門成果文件，設(shè)置部門共享文件夾任加密授權(quán)保護的前提下對成果文件進行共享。文檔實用（3）使用加密技術(shù)對重要或涉及企業(yè)秘密的電子文件進行加密管理，設(shè)置查閱、修訂、復(fù)制、下載、打印等權(quán)限，按授權(quán)利用文件成果。解決問題：進行成果管理，提供基于加

21、密和授權(quán)保護的共享，從而達到防泄密的效果。防范非授權(quán)或無關(guān)人員接觸涉密或敏感電于文件；防范二次傳輸泄密（授權(quán)人二次傳送給無關(guān)人員或集團以外人員造成泄密）；防范移動電腦遺失造成的數(shù)據(jù)丟失或泄密。3.5 國際互聯(lián)網(wǎng)應(yīng)用管控策略內(nèi)容：實施互聯(lián)網(wǎng)出口認證和流量管理系統(tǒng)，加強互聯(lián)網(wǎng)系統(tǒng)監(jiān)控和管理。禁止進行聯(lián)機游戲、基金炒股、P2P下載、BBS交流以及QQMSN等即時通訊網(wǎng)絡(luò)操作；禁止使用超文本傳輸協(xié)議（http）以外的應(yīng)用；禁止一個賬號在多臺機器上同時登錄互聯(lián)網(wǎng)；按國家相關(guān)規(guī)定對訪問互聯(lián)網(wǎng)的行為進行后臺監(jiān)控，必要時對后臺監(jiān)控日志進行審計；禁止訪問非工作相關(guān)網(wǎng)站或不良信息網(wǎng)站。對違反互聯(lián)網(wǎng)使用管理規(guī)定的用戶，收回其權(quán)限并在企業(yè)集團內(nèi)部通告。解決問題：依法安全使用互聯(lián)網(wǎng)，提高網(wǎng)絡(luò)安全性。監(jiān)督防范擅自向外網(wǎng)（如BBS博客等）張貼涉密文件資料