信息安全等級保護與解決方案(-)課件

信息安全等級保護與解決方案信息安全等級保護與解決方案1信息安全等級保護與解決方案信息安全等級保護

信息安全現(xiàn)狀與問題信息安全等級保護簡介信息安全解決方案

信息安全技術(shù)信息安全管理信息安全方案信息安全等級保護與解決方案信息安全等級保護2信息安全現(xiàn)狀日益增長的安全威脅攻擊技術(shù)越來越復(fù)雜入侵條件越來越簡單信息安全現(xiàn)狀日益增長的安全威脅3信息安全問題安全事件每年都有上千家政府網(wǎng)站被攻擊安全影響任何網(wǎng)絡(luò)都可能遭受入侵信息安全問題安全事件4信息系統(tǒng)安全等級保護信息系統(tǒng)安全等級保護簡介信息系統(tǒng)安全保護等級劃分信息系統(tǒng)安全保護定級指南信息系統(tǒng)安全等級保護信息系統(tǒng)安全等級保護簡介5等級保護出臺是信息安全發(fā)展的需要信息安全問題層出不窮安全保護措施、安全管理建設(shè)不足，導致各種安全事故發(fā)生國內(nèi)缺乏相類似的安全標準國家、服務(wù)商和用戶在安全建設(shè)過程中缺乏參考依據(jù)隨著信息安全技術(shù)的發(fā)展隨著安全意識的提高隨著安全服務(wù)范圍增大對信息安全管理需要實行等級化保護(目標/要求/能力)等級保護出臺是信息安全發(fā)展的需要信息安全問題層出不窮61994年國務(wù)院頒布的《中華人民共和國計算機信息系統(tǒng)安全保護條例》規(guī)定計算機信息系統(tǒng)實行信息系統(tǒng)安全等級保護。2003年中央辦公廳、國務(wù)院辦公廳轉(zhuǎn)發(fā)的《國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）中明確指出：“要重點保護基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息系統(tǒng)安全等級保護制度，制定信息系統(tǒng)安全等級保護的管理辦法和技術(shù)指南”。2004年公安部等四部委《關(guān)于信息系統(tǒng)安全等級保護工作的實施意見》（公通字[2004]66號）也指出：“信息系統(tǒng)安全等級保護制度是國家在國民經(jīng)濟和社會信息化的發(fā)展過程中，提高信息安全保障能力和水平，維護國家安全、社會穩(wěn)定和公共利益，保障和促進信息化建設(shè)健康發(fā)展的一項基本制度”。信息安全等級保護相關(guān)文件1994年國務(wù)院頒布的《中華人民共和國計算機信息系統(tǒng)安全保護7信息安全等級保護發(fā)展歷程1999年9月13日《計算機信息系統(tǒng)安全等級劃分準則》GB17859-19992003年9月，27號文明確提出國家信息安全按照等級化保護的制度推行2003年10月，公安部《關(guān)于信息安全等級保護政策建議》2004年初，信息辦領(lǐng)導開始在全國進行等級化保護巡講（北京、上海、鄭州）2004年4月，等級化保護制度開始在部分行業(yè)和省份進行試點2004年6月，頒布《等級化保護實施指南》等文件2005年8月，北戴河會議，初步通過了部分標準2006年3月，頒布部分標準2006年4月，試點工作啟動2007年6月，公安部等四部委聯(lián)合下發(fā)《信息安全等級保護管理辦法》信息安全等級保護發(fā)展歷程1999年9月13日《計算機信息系統(tǒng)8信息安全等級保護發(fā)展歷程2007年7月，四部委聯(lián)合會簽并下發(fā)了《關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》（公信安[2007]861號）

2007年8月,山東省公安廳、山東省保密局、山東省密碼管理局和山東省信息辦聯(lián)合下發(fā)了《山東省重要信息系統(tǒng)安全等級保護定級工作方案》定級范圍：

１電信、廣電行業(yè)的公用通信網(wǎng)、廣播電視傳輸網(wǎng)等基礎(chǔ)信息網(wǎng)絡(luò)，經(jīng)營性公眾互聯(lián)網(wǎng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、數(shù)據(jù)中心等單位的重要信息系統(tǒng)。

２鐵路、銀行、海關(guān)、稅務(wù)、民航、電力、證券、保險、科技、發(fā)展改革、國防科技、公安、人事勞動和社會保障、財政、審計、商務(wù)、水利、國土資源、能源、交通、文化、教育、統(tǒng)計、工商行政管理、郵政等行業(yè)、部門的生產(chǎn)、調(diào)度、管理、辦公等重要信息系統(tǒng)。

３市（地）級以上黨政機關(guān)的重要網(wǎng)站和辦公信息系統(tǒng)。

４涉及國家秘密的信息系統(tǒng)。信息安全等級保護發(fā)展歷程2007年7月，四部委聯(lián)合會簽并下發(fā)9信息安全等級保護指導性文件《信息系統(tǒng)安全等級保護基本要求》《信息系統(tǒng)安全等級保護定級指南》《信息系統(tǒng)安全等級保護實施指南》《信息系統(tǒng)安全等級保護測評準則》信息安全等級保護指導性文件《信息系統(tǒng)安全等級保護基本要求》10信息系統(tǒng)安全保護等級劃分第一級為自主保護級，主要對象為一般的信息系統(tǒng)，其受到破壞后，會對公民、法人和其他組織的權(quán)益有一定影響，但不危害國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益。第二級為指導保護級，主要對象為一定程度上涉及國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益的一般信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益造成一定損害。第三級為監(jiān)督保護級，主要對象為涉及國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益的信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益造成較大損害。第四級為強制保護級，主要對象為涉及國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益的重要信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益造成嚴重損害。第五級為?？乇Ｗo級，主要對象為涉及國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益的重要信息系統(tǒng)的核心子系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經(jīng)濟建設(shè)和公共利益造成特別嚴重損害。信息系統(tǒng)安全保護等級劃分第一級為自主保護級，主要對象為一般的11信息系統(tǒng)安全保護的目標

實行等級保護的總體目標是為了統(tǒng)一信息安全保護工作，推進規(guī)范化、法制化建設(shè)，保障安全，促進發(fā)展，完善我國信息安全法規(guī)和標準體系，提高我國信息安全和信息系統(tǒng)安全建設(shè)的整體水平。信息系統(tǒng)安全保護的目標實行等級保護的總體目標是為了統(tǒng)一12信息安全等級保護的對象信息信息系統(tǒng)信息安全等級保護的對象信息13等級保護工作的三個方面對信息系統(tǒng)分等級實施安全保護;對信息系統(tǒng)中使用的信息安全產(chǎn)品實行分等級管理;對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。等級保護工作的三個方面對信息系統(tǒng)分等級實施安全保護;14決定信息系統(tǒng)重要性的要素信息系統(tǒng)所屬類型，即信息系統(tǒng)資產(chǎn)的安全利益主體信息系統(tǒng)主要處理的業(yè)務(wù)信息類別

----決定信息系統(tǒng)內(nèi)信息資產(chǎn)的重要性

信息系統(tǒng)服務(wù)范圍，包括服務(wù)對象和服務(wù)網(wǎng)絡(luò)覆蓋范圍業(yè)務(wù)對信息系統(tǒng)的依賴程度

----決定信息系統(tǒng)所提供服務(wù)的重要性

決定信息系統(tǒng)重要性的要素信息系統(tǒng)所屬類型，即信息系統(tǒng)資產(chǎn)的安15信息系統(tǒng)所屬類型賦值表

信息系統(tǒng)所屬類型舉例賦值信息系統(tǒng)的社會影響屬于一般企事業(yè)單位，處理其內(nèi)部事務(wù)的信息系統(tǒng)。1信息系統(tǒng)資產(chǎn)受到破壞會對本單位利益有直接影響。屬于重要行業(yè)、重要領(lǐng)域和國家基礎(chǔ)設(shè)施，為國計民生、經(jīng)濟建設(shè)等提供重要服務(wù)的信息系統(tǒng)，或本身雖屬一般企事業(yè)單位，但為黨政或重要信息系統(tǒng)提供支撐服務(wù)的信息系統(tǒng)。2信息系統(tǒng)資產(chǎn)受到破壞會對公共利益有直接影響，或?qū)野踩嬗虚g接影響。屬于黨政機關(guān)，處理國家事務(wù)的信息系統(tǒng)。3信息系統(tǒng)資產(chǎn)受到破壞會對國家安全利益有直接影響。信息系統(tǒng)所屬類型賦值表信息系統(tǒng)所屬類型舉例賦值信息系統(tǒng)的社16業(yè)務(wù)信息類型賦值表

業(yè)務(wù)信息類型舉例賦值業(yè)務(wù)信息的安全影響可以對外公開發(fā)布的信息，或不對外發(fā)布的單位內(nèi)部一般信息。1業(yè)務(wù)信息機密性、完整性或可用性被破壞會對公共利益或本單位經(jīng)濟利益造成一定損害。法人和其他組織及公民的專有信息，例如內(nèi)部敏感信息、關(guān)鍵技術(shù)數(shù)據(jù)、科技情報、商業(yè)秘密等。2業(yè)務(wù)信息機密性、完整性或可用性被破壞會對公共利益或本單位經(jīng)濟利益造成嚴重損害。涉及國家安全利益，影響國家經(jīng)濟建設(shè)的信息。3業(yè)務(wù)信息機密性、完整性或可用性被破壞對國家安全利益和國家經(jīng)濟建設(shè)造成損害。業(yè)務(wù)信息類型賦值表業(yè)務(wù)信息類型舉例賦值業(yè)務(wù)信息的安全影響可17信息系統(tǒng)服務(wù)范圍賦值表

信息系統(tǒng)服務(wù)范圍舉例賦值服務(wù)范圍的影響地區(qū)范圍的服務(wù)網(wǎng)絡(luò)。1信息系統(tǒng)因無法提供服務(wù)或無法提供有效服務(wù)會對局部范圍的資產(chǎn)造成損害。省級范圍的服務(wù)網(wǎng)絡(luò)。2信息系統(tǒng)因無法提供服務(wù)或無法提供有效服務(wù)會對較大范圍的資產(chǎn)造成損害。全國范圍的服務(wù)網(wǎng)絡(luò)。3信息系統(tǒng)因無法提供服務(wù)或無法提供有效服務(wù)會對全國范圍的資產(chǎn)造成損害。信息系統(tǒng)服務(wù)范圍賦值表信息系統(tǒng)服務(wù)范圍舉例賦值服務(wù)范圍的影18業(yè)務(wù)依賴程度賦值表

業(yè)務(wù)依賴程度舉例賦值業(yè)務(wù)系統(tǒng)影響業(yè)務(wù)處理流程的大部分可以通過手工方式或其他方式完成，自動化程度低。1信息系統(tǒng)無法提供服務(wù)或無法提供有效服務(wù)對單位完成其業(yè)務(wù)使命影響較小。業(yè)務(wù)處理流程的部分環(huán)節(jié)可以通過手工方式或其他方式替代完成，自動化程度中。2信息系統(tǒng)無法提供服務(wù)或無法提供有效服務(wù)對單位完成其業(yè)務(wù)使命影響較大。業(yè)務(wù)處理流程完全依賴信息系統(tǒng)，手工方式無法完成，自動化程度高。3信息系統(tǒng)無法提供服務(wù)或無法提供有效服務(wù)使單位無法完成其業(yè)務(wù)使命。業(yè)務(wù)依賴程度賦值表業(yè)務(wù)依賴程度舉例賦值業(yè)務(wù)系統(tǒng)影響業(yè)務(wù)處理19信息系統(tǒng)所屬類型業(yè)務(wù)信息類型信息系統(tǒng)服務(wù)范圍業(yè)務(wù)依賴程度業(yè)務(wù)信息安全性取值業(yè)務(wù)服務(wù)保證性取值業(yè)務(wù)服務(wù)保證性等級1.賦值選擇調(diào)節(jié)因子業(yè)務(wù)子系統(tǒng)安全保護等級2.確定兩個指標等級業(yè)務(wù)信息安全性等級3確定業(yè)務(wù)子系統(tǒng)等級信息系統(tǒng)安全保護等級4.確定信息系統(tǒng)等級其它業(yè)務(wù)子系統(tǒng)。。。信息系統(tǒng)所屬類型業(yè)務(wù)信息類型信息系統(tǒng)服務(wù)范圍業(yè)務(wù)依賴程度業(yè)務(wù)20業(yè)務(wù)信息安全性等級矩陣表業(yè)務(wù)信息類型賦值信息系統(tǒng)所屬類型賦值123112222333344業(yè)務(wù)信息安全性等級矩陣表業(yè)務(wù)信息類型信息系統(tǒng)所屬類型賦值121業(yè)務(wù)服務(wù)保證性取值矩陣表信息系統(tǒng)服務(wù)范圍賦值業(yè)務(wù)依賴程度賦值123112322343344

業(yè)務(wù)服務(wù)保證性取值矩陣表信息系統(tǒng)服務(wù)范圍賦值業(yè)務(wù)依賴程度賦22調(diào)節(jié)因子取值表信息系統(tǒng)服務(wù)的影響程度調(diào)節(jié)因子k信息系統(tǒng)無法提供服務(wù)或無法提供有效服務(wù)會造成國家安全利益損失。1.0

k0.8信息系統(tǒng)無法提供服務(wù)或無法提供有效服務(wù)會造成較大范圍的公共利益損失。0.8

k0.5信息系統(tǒng)無法提供服務(wù)或無法提供有效服務(wù)會造成局部利益損失。0.5

k0調(diào)節(jié)因子取值表信息系統(tǒng)服務(wù)的影響程度調(diào)節(jié)因子k信息系統(tǒng)無法23信息系統(tǒng)安全保護等級

業(yè)務(wù)子系統(tǒng)的安全保護等級由業(yè)務(wù)信息安全性等級和業(yè)務(wù)服務(wù)保證性等級較高者決定。信息系統(tǒng)的安全保護等級由各業(yè)務(wù)子系統(tǒng)的最高等級決定。信息系統(tǒng)安全保護等級業(yè)務(wù)子系統(tǒng)的安全保護等級由業(yè)務(wù)信息安全24物理層面網(wǎng)絡(luò)層面系統(tǒng)層面應(yīng)用層面管理層面安全管理制度業(yè)務(wù)處理流程

業(yè)務(wù)應(yīng)用系統(tǒng)數(shù)據(jù)庫應(yīng)用系統(tǒng)

身份鑒別機制強制訪問控制防火墻入侵檢測系統(tǒng)物理設(shè)備安全環(huán)境安全信息安全體系信息系統(tǒng)安全體系結(jié)構(gòu)物理層面網(wǎng)絡(luò)層面系統(tǒng)層面應(yīng)用層面管理層面安全管理制度25互聯(lián)網(wǎng)計算機網(wǎng)絡(luò)內(nèi)網(wǎng)（業(yè)務(wù)專網(wǎng)）邏輯隔離物理隔離信息收集、發(fā)布，公眾服務(wù)內(nèi)部業(yè)務(wù)處理辦公系統(tǒng)辦公系統(tǒng)電子政務(wù)外網(wǎng)互聯(lián)網(wǎng)計算機網(wǎng)絡(luò)內(nèi)網(wǎng)（業(yè)務(wù)專網(wǎng)）邏輯隔離物理隔離信息收集、發(fā)26等級保護基本要求（二、三級）技術(shù)要求物理安全：物理位置選擇、物理訪問控制、防盜和防破壞、防雷擊、防火、防水、防潮濕、防靜電、電力保障、電磁防護網(wǎng)絡(luò)安全：結(jié)構(gòu)安全和網(wǎng)段劃分、網(wǎng)絡(luò)訪問控制、撥號訪問控制、網(wǎng)絡(luò)安全審計、邊界完整性檢測、網(wǎng)絡(luò)入侵防范、網(wǎng)絡(luò)設(shè)備防護、惡意代碼防范主機系統(tǒng)安全：身份鑒別、自主訪問控制、強制訪問控制、安全審計、系統(tǒng)保護、剩余信息保護、入侵防范、惡意代碼防范、資源控制應(yīng)用安全：身份鑒別、訪問控制、安全審計、剩余信息保護、通信保密性、通信完整性、抗抵賴、軟件容錯、資源控制

數(shù)據(jù)安全：數(shù)據(jù)完整性、數(shù)據(jù)保密性、數(shù)據(jù)備份與恢復(fù)管理要求安全管理機構(gòu)：崗位設(shè)置、人員配置、授權(quán)與審批、溝通與合作、審核與檢查

安全管理制度：管理制度、制定與發(fā)布、評審與修訂

人員安全管理：人員錄用、人員離崗、人員考核、安全意識教育與培訓、第三方人員管理

系統(tǒng)建設(shè)管理：系統(tǒng)定級、系統(tǒng)備案、安全方案設(shè)計、產(chǎn)品采購、自行軟件研發(fā)、外包軟件開發(fā)、工程實施、工程驗收

系統(tǒng)運維管理：環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、監(jiān)控管理、網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復(fù)管理、安全事件管理、應(yīng)急預(yù)案管理等級保護基本要求（二、三級）技術(shù)要求27信息安全技術(shù)物理安全：物理位置選擇、物理訪問控制、防盜和防破壞、防雷擊、防火、防水、防潮濕、防靜電、電力保障、電磁防護網(wǎng)絡(luò)安全：結(jié)構(gòu)安全和網(wǎng)段劃分、網(wǎng)絡(luò)訪問控制、撥號訪問控制、網(wǎng)絡(luò)安全審計、邊界完整性檢測、網(wǎng)絡(luò)入侵防范、網(wǎng)絡(luò)設(shè)備防護、惡意代碼防范主機系統(tǒng)安全：身份鑒別、自主訪問控制、強制訪問控制、安全審計、系統(tǒng)保護、剩余信息保護、入侵防范、惡意代碼防范、資源控制應(yīng)用安全：身份鑒別、訪問控制、安全審計、剩余信息保護、通信保密性、通信完整性、抗抵賴、軟件容錯、資源控制數(shù)據(jù)安全：數(shù)據(jù)完整性、數(shù)據(jù)保密性、數(shù)據(jù)備份與恢復(fù)信息安全技術(shù)物理安全：物理位置選擇、物理訪問控制、防盜和防破28結(jié)構(gòu)安全和網(wǎng)段劃分網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)具備冗余空間，要求滿足業(yè)務(wù)高峰期需要；設(shè)計和繪制與當前運行情況相符的網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖；根據(jù)機構(gòu)業(yè)務(wù)的特點，在滿足業(yè)務(wù)高峰期需要的基礎(chǔ)上，合理設(shè)計網(wǎng)絡(luò)帶寬；在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全的訪問路徑；根據(jù)各部門的工作職能、重要性、所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；重要網(wǎng)段應(yīng)采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁定措施，防止地址欺騙；按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要信息資產(chǎn)主機。

結(jié)構(gòu)安全和網(wǎng)段劃分網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)具備冗余空間，要求29網(wǎng)絡(luò)安全訪問控制根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信息的主機名等信息，并應(yīng)支持地址通配符的使用），為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力；對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；依據(jù)安全策略允許或者拒絕便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入；在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接；限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)。網(wǎng)絡(luò)安全訪問控制根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地30網(wǎng)絡(luò)安全訪問控制網(wǎng)絡(luò)安全訪問控制實現(xiàn)的方法有多種，簡單網(wǎng)絡(luò)的安全訪問控制可以在路由器上實現(xiàn)，復(fù)雜的功能可以由主機甚至一個子網(wǎng)來實現(xiàn)。網(wǎng)絡(luò)安全訪問控制網(wǎng)絡(luò)安全訪問控制實現(xiàn)的方法有多種，簡單網(wǎng)絡(luò)的31網(wǎng)絡(luò)安全訪問控制與防火墻防火墻產(chǎn)品的初衷是實現(xiàn)網(wǎng)絡(luò)之間的安全訪問控制。防火墻是設(shè)置在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間，實施訪問控制策略的一個或一組系統(tǒng)，是訪問控制機制在網(wǎng)絡(luò)安全環(huán)境中的應(yīng)用。防火墻實現(xiàn)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)邏輯隔離，通過限制網(wǎng)絡(luò)互訪來保護內(nèi)部網(wǎng)絡(luò)。防火墻是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)制定的安全策略(允許、拒絕及監(jiān)視等)控制出入網(wǎng)絡(luò)的數(shù)據(jù)流，且本身具有較強的抗攻擊能力。防火墻的目的就是在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)連接之間建立一個安全控制點，允許、拒絕或重新定向經(jīng)過防火墻的數(shù)據(jù)流，實現(xiàn)對進出內(nèi)部網(wǎng)絡(luò)的網(wǎng)絡(luò)通信的審計和控制。網(wǎng)絡(luò)安全訪問控制與防火墻防火墻產(chǎn)品的初衷是實現(xiàn)網(wǎng)絡(luò)之間的安全32防火墻技術(shù)的局限性防火墻不能過濾應(yīng)用層的非法攻擊，如編碼攻擊防火墻對不通過它的連接無能為力，如內(nèi)網(wǎng)攻擊防火墻采用靜態(tài)安全策略技術(shù)，因此無法動態(tài)防御新的攻擊防火墻技術(shù)的局限性防火墻不能過濾應(yīng)用層的非法攻擊，如編碼攻擊33安全審計網(wǎng)絡(luò)安全審計主機安全審計安全審計網(wǎng)絡(luò)安全審計34網(wǎng)絡(luò)安全審計對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行全面的監(jiān)測、記錄；對于每一個事件，其審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功，及其他與審計相關(guān)的信息；安全審計應(yīng)可以根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；安全審計應(yīng)可以對特定事件，提供指定方式的實時報警；審計記錄應(yīng)受到保護避免受到未預(yù)期的刪除、修改或覆蓋等。網(wǎng)絡(luò)安全審計對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行35網(wǎng)絡(luò)安全審計網(wǎng)絡(luò)安全審計管理通過對網(wǎng)絡(luò)中流動的數(shù)據(jù)進行審計分析，能夠監(jiān)控到內(nèi)部網(wǎng)絡(luò)中的外網(wǎng)訪問行為，如郵件、MSN/QQ聊天、Web訪問、網(wǎng)絡(luò)游戲、文件傳輸、在線電影頻道等等行為；能夠?qū)崿F(xiàn)對所監(jiān)控網(wǎng)絡(luò)進行基于業(yè)務(wù)的帶寬分配、流量限制等。尤其針對網(wǎng)絡(luò)中的BT、電驢、迅雷等p2p的文件傳輸行為能有效地進行控制，以控制非業(yè)務(wù)網(wǎng)絡(luò)行為所占用的帶寬資源，從而保證正常業(yè)務(wù)順暢進行。網(wǎng)絡(luò)安全審計網(wǎng)絡(luò)安全審計管理通過對網(wǎng)絡(luò)中流動的數(shù)據(jù)進行審計分36主機安全審計安全審計應(yīng)覆蓋到服務(wù)器和客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；安全審計應(yīng)記錄系統(tǒng)內(nèi)重要的安全相關(guān)事件，包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用；安全相關(guān)事件的記錄應(yīng)包括日期和時間、類型、主體標識、客體標識、事件的結(jié)果等；安全審計應(yīng)可以根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；安全審計應(yīng)可以對特定事件，提供指定方式的實時報警；審計進程應(yīng)受到保護避免受到未預(yù)期的中斷；審計記錄應(yīng)受到保護避免受到未預(yù)期的刪除、修改或覆蓋等。主機安全審計安全審計應(yīng)覆蓋到服務(wù)器和客戶端上的每個操作系統(tǒng)用37邊界完整性檢測能夠檢測內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡(luò)的行為（即“非法外聯(lián)”行為）；能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到網(wǎng)絡(luò)的行為進行檢查，并準確定出位置，對其進行有效阻斷；能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢測后準確定出位置，并對其進行有效阻斷。邊界完整性檢測能夠檢測內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準許私自38惡意代碼防范在網(wǎng)絡(luò)邊界及核心業(yè)務(wù)網(wǎng)段處對惡意代碼進行檢測和清除維護惡意代碼庫的升級和檢測系統(tǒng)的更新支持惡意代碼防范的統(tǒng)一管理惡意代碼防范在網(wǎng)絡(luò)邊界及核心業(yè)務(wù)網(wǎng)段處對惡意代碼進行檢測和清39惡意代碼防范防病毒網(wǎng)關(guān)（互聯(lián)網(wǎng)病毒防護）--網(wǎng)絡(luò)層服務(wù)器系統(tǒng)病毒防護終端（微機）病毒防護惡意代碼防范防病毒網(wǎng)關(guān)（互聯(lián)網(wǎng)病毒防護）--網(wǎng)絡(luò)層40防病毒網(wǎng)關(guān)（病毒防火墻）在網(wǎng)關(guān)上安裝病毒過濾程序，對網(wǎng)絡(luò)流量進行全面掃描，并通過識別表示存在惡意代碼的病毒模式，檢測出惡意代碼。利用對流經(jīng)網(wǎng)關(guān)的HTTP、FTP、SMTP協(xié)議的流量進行掃描，可以在第一時間發(fā)現(xiàn)病毒、阻塞病毒，不讓病毒傳播到網(wǎng)絡(luò)中來。不僅如此，還可以通過內(nèi)容過濾來對網(wǎng)絡(luò)流量中不符合網(wǎng)絡(luò)策略的內(nèi)容進行阻斷，如非法網(wǎng)站、透露機密的郵件等。防病毒網(wǎng)關(guān)（病毒防火墻）在網(wǎng)關(guān)上安裝病毒過濾程序，對網(wǎng)絡(luò)流量41服務(wù)器系統(tǒng)病毒防護根據(jù)服務(wù)器端系統(tǒng)平臺的實際情況，在各種服務(wù)器系統(tǒng)(如文件服務(wù)器、主域/備份域服務(wù)器、郵件服務(wù)器、DNS服務(wù)器等)上安裝相應(yīng)的防計算機病毒產(chǎn)品。特別是郵件系統(tǒng)極易傳播病毒，因此，要在郵件服務(wù)器上安裝專門的防護軟件，實時掃描接收和發(fā)送的電子郵件。

服務(wù)器系統(tǒng)病毒防護根據(jù)服務(wù)器端系統(tǒng)平臺的實際情況，在各種服務(wù)42終端（桌面）病毒防護根據(jù)網(wǎng)絡(luò)終端平臺實際情況，分別選用相應(yīng)的客戶端防病毒軟件。客戶端防病毒軟件應(yīng)該與服務(wù)器端防病毒軟件相配合，統(tǒng)一管理防病毒策略和防病毒軟件的升級更新。保護計算機的第一個步驟就是確保操作系統(tǒng)是最新的，特別是對于微軟windows操作系統(tǒng)。其次，必須為系統(tǒng)安裝防病毒軟件，并且經(jīng)常下載更新以確保能夠抵抗最新的病毒。另外，防病毒軟件最好能夠?qū)崟r掃描來自互聯(lián)網(wǎng)的電子郵件和文件以便能夠及時阻止病毒的入侵。最后，最好同時為系統(tǒng)安裝網(wǎng)絡(luò)防火墻，它們可以阻止對計算機的未授權(quán)訪問和使用。

終端（桌面）病毒防護根據(jù)網(wǎng)絡(luò)終端平臺實際情況，分別選用相應(yīng)的43入侵防范網(wǎng)絡(luò)入侵防范

Network-BasedIntrusionDetectionSystem主機入侵防范

Host-BasedIntrusionDetectionSystem入侵防范網(wǎng)絡(luò)入侵防范44網(wǎng)絡(luò)入侵防范在網(wǎng)絡(luò)邊界處應(yīng)監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊、網(wǎng)絡(luò)蠕蟲攻擊等入侵事件的發(fā)生；當檢測到入侵事件時，應(yīng)記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警。網(wǎng)絡(luò)入侵防范在網(wǎng)絡(luò)邊界處應(yīng)監(jiān)視以下攻擊行為：端口掃描、強力攻45網(wǎng)絡(luò)入侵防范工作原理

收集網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包及相關(guān)網(wǎng)絡(luò)會話根據(jù)預(yù)定義的設(shè)置，進行必要的數(shù)據(jù)過濾及縮略，從而提高檢測、分析的效率。根據(jù)定義的安全策略，進行檢測/分析。一旦檢測到違反安全策略的行為或者事件，進行報警及響應(yīng)。網(wǎng)絡(luò)入侵防范工作原理收集網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)包及相關(guān)網(wǎng)絡(luò)會話46入侵檢測技術(shù)的局限性入侵檢測通過抓取數(shù)據(jù)報文對其分析，并與攻擊規(guī)則樣本進行比較發(fā)現(xiàn)攻擊行為通過特殊的編碼可以繞過入侵檢測的偵測（漏報）需要不斷的跟蹤新的攻擊模式并更新攻擊樣本容易把正常的訪問識別為入侵行為（誤報）入侵檢測技術(shù)的局限性入侵檢測通過抓取數(shù)據(jù)報文對其分析，并與攻47網(wǎng)絡(luò)入侵防御(IPS)面臨的挑戰(zhàn)單點故障性能“瓶頸”增加網(wǎng)絡(luò)延遲降低網(wǎng)絡(luò)效率誤報和漏報網(wǎng)絡(luò)入侵防御(IPS)面臨的挑戰(zhàn)單點故障48主機入侵防范進行主機運行監(jiān)視，包括監(jiān)視主機的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；設(shè)定資源報警域值，以便在資源使用超過規(guī)定數(shù)值時發(fā)出報警；進行特定進程監(jiān)控，限制操作人員運行非法進程；進行主機賬戶監(jiān)控，限制對重要賬戶的添加和更改；檢測各種已知的入侵行為，記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴重入侵事件時提供報警；能夠檢測重要程序完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復(fù)措施。主機入侵防范進行主機運行監(jiān)視，包括監(jiān)視主機的CPU、硬盤、內(nèi)49主機入侵防范工作原理

根據(jù)系統(tǒng)內(nèi)部的審計數(shù)據(jù)根據(jù)預(yù)定義的設(shè)置，進行必要的數(shù)據(jù)過濾及縮略，從而提高檢測、分析的效率。根據(jù)定義的安全策略，進行檢測/分析。一旦檢測到違反安全策略的行為或者事件，進行報警及響應(yīng)。主機入侵防范工作原理根據(jù)系統(tǒng)內(nèi)部的審計數(shù)據(jù)50強制訪問控制對重要信息資源和訪問重要信息資源的所有主體設(shè)置敏感標記；強制訪問控制的覆蓋范圍應(yīng)包括與重要信息資源直接相關(guān)的所有主體、客體及它們之間的操作；強制訪問控制的粒度應(yīng)達到主體為用戶級，客體為文件、數(shù)據(jù)庫表級。強制訪問控制對重要信息資源和訪問重要信息資源的所有主體設(shè)置51主機系統(tǒng)強制訪問控制

主機操作系統(tǒng)采用自主訪問控制脆弱的認證體系明顯的系統(tǒng)安全漏洞來自內(nèi)部的攻擊或誤操作來自外部的網(wǎng)絡(luò)攻擊

主機系統(tǒng)強制訪問控制主機操作系統(tǒng)采用自主訪問控制52操作系統(tǒng)安全加固產(chǎn)品主動防御、全面防護操作系統(tǒng)的可信改造訪問控制監(jiān)視列表XOdata2data1訪問請求訪問請求數(shù)據(jù)訪問請求監(jiān)視操作系統(tǒng)安全內(nèi)核操作系統(tǒng)安全加固產(chǎn)品主動防御、全面防護訪問控制XOdata253操作系統(tǒng)安全加固產(chǎn)品技術(shù)背景

-操作系統(tǒng)可信改造可信計算機系統(tǒng)評測標準(TCSEC)國家信息化等級標準要求重構(gòu)與應(yīng)用的抉擇操作系統(tǒng)安全加固技術(shù)（ReinforcementOperatingSystemTechnique）操作系統(tǒng)安全加固產(chǎn)品技術(shù)背景

-操作系統(tǒng)可信改造可信計算機系54信息安全等級保護與解決方案(-)課件55服務(wù)器系統(tǒng)加固產(chǎn)品特點服務(wù)器系統(tǒng)加固產(chǎn)品特點56數(shù)據(jù)備份和恢復(fù)提供自動機制對重要信息進行本地和異地備份提供恢復(fù)重要信息的功能；提供重要網(wǎng)絡(luò)設(shè)備、通信線路和服務(wù)器的硬件冗余；提供重要業(yè)務(wù)系統(tǒng)的本地系統(tǒng)級熱備份。數(shù)據(jù)備份和恢復(fù)提供自動機制對重要信息進行本地和異地備份57信息安全管理安全管理機構(gòu)

崗位設(shè)置、人員配置、授權(quán)與審批、溝通與合作、審核與檢查安全管理制度

管理制度、制定與發(fā)布、評審與修訂人員安全管理

人員錄用、人員離崗、人員考核、安全意識教育與培訓、第三方人員管理系統(tǒng)建設(shè)管理

系統(tǒng)定級、系統(tǒng)備案、安全方案設(shè)計、產(chǎn)品采購、自行軟件研發(fā)、外包軟件開發(fā)、工程實施、工程驗收系統(tǒng)運維管理

環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、監(jiān)控管理、網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復(fù)管理、安全事件管理、應(yīng)急預(yù)案管理信息安全管理安全管理機構(gòu)

崗位設(shè)置、人員配置、授權(quán)與審批、溝58安全管理機構(gòu)崗位設(shè)置人員配置授權(quán)與審批溝通與合作審核與檢查安全管理機構(gòu)崗位設(shè)置59安全管理機構(gòu)--崗位設(shè)置設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管人、安全管理各個方面的負責人，定義各負責人的職責；設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員崗位，定義各個工作崗位的職責；成立指導和管理信息安全工作的委員會或領(lǐng)導小組，其最高領(lǐng)導應(yīng)由單位主管領(lǐng)導委任或授權(quán)；制定文件，明確安全管理機構(gòu)各個部門和崗位的職責、分工和技能要求。安全管理機構(gòu)--崗位設(shè)置設(shè)立信息安全管理工作的職能部門，設(shè)立60安全管理機構(gòu)--人員配備配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員等；配備專職安全管理人員不可兼任；關(guān)鍵崗位應(yīng)定期輪崗。安全管理機構(gòu)--人員配備配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡(luò)管理61安全管理機構(gòu)--授權(quán)與審批授權(quán)審批部門及批準人，對關(guān)鍵活動進行審批；列表說明須審批的事項、審批部門和可批準人；建立各審批事項的審批程序，按照審批程序執(zhí)行審批過程；建立關(guān)鍵活動的雙重審批制度；不再適用的權(quán)限應(yīng)及時取消授權(quán)；定期審查、更新需授權(quán)和審批的項目；記錄授權(quán)過程并保存授權(quán)文檔。安全管理機構(gòu)--授權(quán)與審批授權(quán)審批部門及批準人，對關(guān)鍵活動進62安全管理機構(gòu)--溝通與合作加強各類管理人員和組織內(nèi)部機構(gòu)之間的合作與溝通，定期或不定期召開協(xié)調(diào)會議，共同協(xié)助處理信息安全問題；信息安全職能部門應(yīng)定期或不定期召集相關(guān)部門和人員召開安全工作會議，協(xié)調(diào)安全工作的實施；信息安全領(lǐng)導小組或者安全管理委員會定期召開例會，對信息安全工作進行指導、決策；加強與兄弟單位、公安機關(guān)、電信公司的合作與溝通，以便在發(fā)生安全事件時能夠得到及時的支持；加強與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通，獲取信息安全的最新發(fā)展動態(tài)，當發(fā)生緊急事件的時候能夠及時得到支持和幫助；文件說明外聯(lián)單位、合作內(nèi)容和聯(lián)系方式；聘請信息安全專家作為常年的安全顧問，指導信息安全建設(shè)，參與安全規(guī)劃和安全評審等。安全管理機構(gòu)--溝通與合作加強各類管理人員和組織內(nèi)部機構(gòu)之間63安全管理機構(gòu)--審核與檢查由安全管理人員定期進行安全檢查，檢查內(nèi)容包括用戶賬號情況、系統(tǒng)漏洞情況、系統(tǒng)審計情況等；由安全管理部門組織相關(guān)人員定期進行全面檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；由安全管理部門組織相關(guān)人員定期分析、評審異常行為的審計記錄，發(fā)現(xiàn)可疑行為,形成審計分析報告，并采取必要的應(yīng)對措施；制定安全檢查表格，實施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報告，并對安全檢查結(jié)果進行通報；制定安全審核和安全檢查制度，規(guī)范安全審核和安全檢查工作，定期按照程序進行安全審核和安全檢查活動。安全管理機構(gòu)--審核與檢查由安全管理人員定期進行安全檢查，檢64安全管理制度管理制度制定與發(fā)布評審與修訂安全管理制度管理制度65安全管理制度--管理制度制定信息安全工作的總體方針、政策性文件和安全策略等，說明機構(gòu)安全工作的總體目標、范圍、方針、原則、責任等；對安全管理活動中的各類管理內(nèi)容建立安全管理制度，以規(guī)范安全管理活動，約束人員的行為方式；對要求管理人員或操作人員執(zhí)行的日常管理操作，建立操作規(guī)程，以規(guī)范操作行為，防止操作失誤；形成由安全政策、安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系；由安全管理職能部門定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進行審定。安全管理制度--管理制度制定信息安全工作的總體方針、政策性文66安全管理制度--制定與發(fā)布在信息安全領(lǐng)導小組的負責下，組織相關(guān)人員制定；保證安全管理制度具有統(tǒng)一的格式風格，并進行版本控制；組織相關(guān)人員對制定的安全管理制度進行論證和審定；安全管理制度應(yīng)經(jīng)過管理層簽發(fā)后按照一定的程序以文件形式發(fā)布；安全管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進行登記。安全管理制度--制定與發(fā)布在信息安全領(lǐng)導小組的負責下，組織相67安全管理制度--評審與修訂定期對安全管理制度進行評審和修訂，對存在不足或需要改進的安全管理制度進行修訂；當發(fā)生重大安全事故、出現(xiàn)新的安全漏洞以及技術(shù)基礎(chǔ)結(jié)構(gòu)發(fā)生變更時，應(yīng)對安全管理制度進行檢查、審定和修訂；每個制度文檔應(yīng)有相應(yīng)負責人或負責部門，負責對明確需要修訂的制度文檔，進行修訂和維護。安全管理制度--評審與修訂定期對安全管理制度進行評審和修訂，68人員安全管理人員錄用人員離崗人員考核安全意識教育與培訓第三方人員管理人員安全管理人員錄用69人員安全管理--人員錄用保證被錄用人具備基本的專業(yè)技術(shù)水平和安全管理知識；對被錄用人的身份、背景、專業(yè)資格和資質(zhì)進行審查；對被錄用人所具備的技術(shù)技能進行考核；對被錄用人說明其角色和職責；簽署保密協(xié)議；對從事關(guān)鍵崗位的人員應(yīng)從內(nèi)部人員選拔，并定期進行信用審查；對從事關(guān)鍵崗位的人員應(yīng)簽署崗位安全協(xié)議。人員安全管理--人員錄用保證被錄用人具備基本的專業(yè)技術(shù)水平和70人員安全管理--人員離崗立即終止由于各種原因即將離崗的員工的所有訪問權(quán)限；取回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備；經(jīng)機構(gòu)人事部門辦理嚴格的調(diào)離手續(xù)，并承諾調(diào)離后的保密義務(wù)后方可離開。人員安全管理--人員離崗立即終止由于各種原因即將離崗的員工的71人員安全管理--人員考核對所有人員進行全面、嚴格的安全審查；定期對各個崗位的人員進行安全技能及安全認知的考核；對考核結(jié)果進行記錄并保存；對違背安全策略和規(guī)定的人員進行懲戒。人員安全管理--人員考核對所有人員進行全面、嚴格的安全審查；72人員安全管理

--安全意識教育與培訓對各類人員進行安全意識教育；告知人員相關(guān)的安全責任和懲戒措施；制定安全教育和培訓計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進行培訓；針對不同崗位制定不同培訓計劃；對安全教育和培訓的情況和結(jié)果進行記錄并歸檔保存。人員安全管理

--安全意識教育與培訓對各類人員進行安全意識教73人員安全管理

--第三方人員管理第三方人員應(yīng)在訪問前與機構(gòu)簽署安全責任合同書或保密協(xié)議；對重要區(qū)域的訪問，須提出書面申請，批準后由專人全程陪同或監(jiān)督，并記錄備案；對第三方人員允許訪問的區(qū)域、系統(tǒng)、設(shè)備、信息等內(nèi)容應(yīng)進行書面的規(guī)定，并按照規(guī)定執(zhí)行。人員安全管理

--第三方人員管理第三方人員應(yīng)在訪問前與機構(gòu)簽74系統(tǒng)建設(shè)管理系統(tǒng)定級系統(tǒng)備案安全方案設(shè)計產(chǎn)品采購自行軟件研發(fā)外包軟件開發(fā)工程實施工程驗收系統(tǒng)交付系統(tǒng)建設(shè)管理系統(tǒng)定級75系統(tǒng)建設(shè)管理--系統(tǒng)定級明確信息系統(tǒng)劃分的方法確定信息系統(tǒng)的安全保護等級以書面的形式定義安全保護等級的信息系統(tǒng)的屬性，包括使命、業(yè)務(wù)、網(wǎng)絡(luò)、硬件、軟件、數(shù)據(jù)、邊界、人員等以書面的形式說明確定一個信息系統(tǒng)為某個安全保護等級的方法和理由組織相關(guān)部門和有關(guān)安全技術(shù)專家對信息系統(tǒng)的定級結(jié)果的合理性和正確性進行論證和審定確保信息系統(tǒng)的定級結(jié)果經(jīng)過相關(guān)部門的批準系統(tǒng)建設(shè)管理--系統(tǒng)定級明確信息系統(tǒng)劃分的方法76系統(tǒng)建設(shè)管理--系統(tǒng)備案將系統(tǒng)定級、系統(tǒng)屬性等材料指定專門的人員或部門負責管理，并控制這些材料的使用將系統(tǒng)等級和系統(tǒng)屬性等資料報系統(tǒng)主管部門備案將系統(tǒng)等級、系統(tǒng)屬性、等級劃分理由及其他要求的備案材料報相應(yīng)公安機關(guān)備案系統(tǒng)建設(shè)管理--系統(tǒng)備案將系統(tǒng)定級、系統(tǒng)屬性等材料指定專門的77系統(tǒng)建設(shè)管理--安全方案設(shè)計根據(jù)系統(tǒng)的安全級別選擇基本安全措施，依據(jù)風險評估的結(jié)果補充和調(diào)整安全措施指定和授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進行總體規(guī)劃，制定近期和遠期的安全建設(shè)工作計劃根據(jù)信息系統(tǒng)的等級劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細設(shè)計方案，并形成配套文件組織相關(guān)部門和有關(guān)安全技術(shù)專家對總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套文件的合理性和正確性進行論證和審定確保總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等文件必須經(jīng)過批準，才能正式實施根據(jù)安全測評、安全評估的結(jié)果定期調(diào)整和修訂總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套文件系統(tǒng)建設(shè)管理--安全方案設(shè)計根據(jù)系統(tǒng)的安全級別選擇基本安全措78系統(tǒng)建設(shè)管理--產(chǎn)品采購確保安全產(chǎn)品的使用符合國家的有關(guān)規(guī)定確保密碼產(chǎn)品的使用符合國家密碼主管部門的要求指定或授權(quán)專門的部門負責產(chǎn)品的采購制定產(chǎn)品采購方面的管理制度明確說明采購過程的控制方法和人員行為準則預(yù)先對產(chǎn)品進行選型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單系統(tǒng)建設(shè)管理--產(chǎn)品采購確保安全產(chǎn)品的使用符合國家的有關(guān)規(guī)定79系統(tǒng)建設(shè)管理--自行軟件研發(fā)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開；確保系統(tǒng)開發(fā)文檔由專人負責保管，系統(tǒng)開發(fā)文檔的使用受到控制；制定開發(fā)方面的管理制度，明確說明開發(fā)過程的控制方法和人員行為準則；確保開發(fā)人員和測試人員的分離，測試數(shù)據(jù)和測試結(jié)果受到控制；確保提供軟件設(shè)計的相關(guān)文檔和使用指南；確保對程序資源庫的修改、更新、發(fā)布進行授權(quán)和批準。系統(tǒng)建設(shè)管理--自行軟件研發(fā)確保開發(fā)環(huán)境與實際運行環(huán)境物理分80系統(tǒng)建設(shè)管理--外包軟件開發(fā)與軟件開發(fā)單位簽訂協(xié)議，明確知識產(chǎn)權(quán)的歸屬和安全方面的要求；根據(jù)協(xié)議的要求檢測軟件質(zhì)量；在軟件安裝之前檢測軟件包中可能存在的惡意代碼；要求開發(fā)單位提供技術(shù)培訓和服務(wù)承諾；要求開發(fā)單位提供軟件設(shè)計的相關(guān)文檔和使用指南。系統(tǒng)建設(shè)管理--外包軟件開發(fā)與軟件開發(fā)單位簽訂協(xié)議，明確知識81系統(tǒng)建設(shè)管理--工程實施與工程實施單位簽訂與安全相關(guān)的協(xié)議，約束工程實施單位的行為；指定或授權(quán)專門的人員或部門負責工程實施過程的管理；制定詳細的工程實施方案控制實施過程，并要求工程實施單位能正式地執(zhí)行安全工程過程；制定工程實施方面的管理制度明確說明實施過程的控制方法和人員行為準則。系統(tǒng)建設(shè)管理--工程實施與工程實施單位簽訂與安全相關(guān)的協(xié)議，82系統(tǒng)建設(shè)管理--工程驗收對系統(tǒng)進行安全性測試驗收；在測試驗收前根據(jù)設(shè)計方案或合同要求等制訂測試驗收方案，測試驗收過程中詳細記錄測試驗收結(jié)果，形成測試驗收報告；委托公正的第三方測試單位對系統(tǒng)進行測試，并出具測試報告；制定系統(tǒng)測試驗收方面的管理制度，明確說明系統(tǒng)測試驗收的控制方法和人員行為準則；指定或授權(quán)專門的部門負責系統(tǒng)測試驗收的管理，并按照管理制度的要求完成系統(tǒng)測試驗收工作；組織相關(guān)部門和相關(guān)人員，對系統(tǒng)測試驗收報告進行審定，沒有疑問后由雙方簽字。系統(tǒng)建設(shè)管理--工程驗收對系統(tǒng)進行安全性測試驗收；83系統(tǒng)建設(shè)管理--系統(tǒng)交付明確系統(tǒng)的交接手續(xù)，并按照交接手續(xù)完成交接工作；由系統(tǒng)建設(shè)方完成對委托建設(shè)方的運維技術(shù)人員的培訓；由系統(tǒng)建設(shè)方提交系統(tǒng)建設(shè)過程中的文檔和指導用戶進行系統(tǒng)運行維護的文檔；由系統(tǒng)建設(shè)方進行服務(wù)承諾，并提交服務(wù)承諾書，確保對系統(tǒng)運行維護的支持；制定系統(tǒng)交付方面的管理制度，明確說明系統(tǒng)交付的控制方法和人員行為準則；指定或授權(quán)專門的部門負責系統(tǒng)交付的管理工作，并按照管理制度的要求完成系統(tǒng)交付工作。系統(tǒng)建設(shè)管理--系統(tǒng)交付明確系統(tǒng)的交接手續(xù)，并按照交接手續(xù)完84系統(tǒng)運維管理環(huán)境管理資產(chǎn)管理介質(zhì)管理設(shè)備管理監(jiān)控管理網(wǎng)絡(luò)安全管理系統(tǒng)安全管理惡意代碼防范管理密碼管理變更管理備份與恢復(fù)管理安全事件管理應(yīng)急預(yù)案管理系統(tǒng)運維管理環(huán)境管理85系統(tǒng)運維管理--環(huán)境管理對機房供配電、空調(diào)、溫濕度控制等設(shè)施指定專人或?qū)ｉT的部門定期進行維護管理；配備機房安全管理人員，對機房的出入、服務(wù)器的開機或關(guān)機等工作進行管理；建立機房安全管理制度，對有關(guān)機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面作出規(guī)定；加強對辦公環(huán)境的保密性管理，如工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等；有指定的部門負責機房安全，并配置電子門禁系統(tǒng)，對機房來訪人員實行登記記錄和電子記錄雙重備案管理；對辦公環(huán)境的人員行為，如工作人員離開座位應(yīng)確保終端計算機退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等作出規(guī)定。系統(tǒng)運維管理--環(huán)境管理對機房供配電、空調(diào)、溫濕度控制等設(shè)施86系統(tǒng)運維管理--資產(chǎn)管理建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責任人員或責任部門，并規(guī)范資產(chǎn)管理和使用的行為；編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)、資產(chǎn)所屬關(guān)系、安全級別和所處位置等信息的資產(chǎn)清單；根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行定性賦值和標識管理，根據(jù)資產(chǎn)的價值選擇相應(yīng)的管理措施；規(guī)定信息分類與標識的原則和方法，并對信息的使用、存儲和傳輸作出規(guī)定。系統(tǒng)運維管理--資產(chǎn)管理建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資87系統(tǒng)運維管理--介質(zhì)管理建立介質(zhì)安全管理制度，對介質(zhì)的存放環(huán)境、使用、維護和銷毀等方面作出規(guī)定；有介質(zhì)的歸檔和查詢記錄，并對存檔介質(zhì)的目錄清單定期盤點；對于需要送出維修或銷毀的介質(zhì)，應(yīng)首先清除介質(zhì)中的敏感數(shù)據(jù)，防止信息的非法泄漏；根據(jù)數(shù)據(jù)備份的需要對某些介質(zhì)實行異地存儲，存儲地的環(huán)境要求和管理方法應(yīng)與本地相同；根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進行分類和標識管理，并實行存儲環(huán)境專人管理；對介質(zhì)的物理傳輸過程中人員選擇、打包、交付等情況進行控制；對存儲介質(zhì)的使用過程、送出維修以及銷毀進行嚴格的管理，保密性較高的信息存儲介質(zhì)未經(jīng)批準不得自行銷毀；必要時應(yīng)對重要介質(zhì)數(shù)據(jù)和軟件采取加密存儲，對帶出工作環(huán)境的存儲介質(zhì)進行內(nèi)容加密和監(jiān)控管理；對存放在介質(zhì)庫中的介質(zhì)定期進行完整性和可用性檢查，確認其數(shù)據(jù)或軟件沒有受到損壞或丟失。系統(tǒng)運維管理--介質(zhì)管理建立介質(zhì)安全管理制度，對介質(zhì)的存放環(huán)88系統(tǒng)運維管理--設(shè)備管理對信息系統(tǒng)相關(guān)的各種設(shè)備、線路等指定專人或?qū)ｉT的部門定期進行維護管理；對信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放或領(lǐng)用等過程建立基于申報、審批和專人負責的管理制度；對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進行規(guī)范化管理；對帶離機房或辦公地點的信息處理設(shè)備進行控制；按操作規(guī)程實現(xiàn)服務(wù)器的啟動/停止、加電/斷電等操作，加強對服務(wù)器操作的日志文件管理和監(jiān)控管理，并對其定期進行檢查；建立配套設(shè)施、軟硬件維護方面的管理制度，對軟硬件維護進行有效的管理，包括明確維護人員的責任、涉外維修和服務(wù)的審批、維修過程的監(jiān)督控制等；在安全管理機構(gòu)統(tǒng)一安全策略下對服務(wù)器進行系統(tǒng)配置和服務(wù)設(shè)定，并實施配置管理。系統(tǒng)運維管理--設(shè)備管理對信息系統(tǒng)相關(guān)的各種設(shè)備、線路等指定89系統(tǒng)運維管理--監(jiān)控管理進行主機運行監(jiān)視，包括監(jiān)視主機的CPU、硬盤、內(nèi)存和網(wǎng)絡(luò)等資源的使用情況；對分散或集中的安全管理系統(tǒng)的訪問授權(quán)、操作記錄、日志等方面進行有效管理；嚴格管理運行過程文檔，其中包括責任書、授權(quán)書、許可證、各類策略文檔、事故報告處理文檔、安全配置文檔、系統(tǒng)各類日志等，并確保文檔的完整性和一致性。系統(tǒng)運維管理--監(jiān)控管理進行主機運行監(jiān)視，包括監(jiān)視主機的CP90系統(tǒng)運維管理--網(wǎng)絡(luò)安全管理指定專人對網(wǎng)絡(luò)進行管理，負責運行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護和報警信息分析和處理工作；根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進行更新，并在更新前對現(xiàn)有的重要文件進行備份；進行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時的修補；應(yīng)保證所有與外部系統(tǒng)連接均應(yīng)得到授權(quán)和批準；建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、網(wǎng)絡(luò)用戶以及日志等方面作出規(guī)定；對網(wǎng)絡(luò)設(shè)備的安全策略、授權(quán)訪問、最小服務(wù)、升級與打補丁、維護記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體要求；規(guī)定網(wǎng)絡(luò)審計日志的保存時間以便為可能的安全事件調(diào)查提供支持；明確各類用戶的責任、義務(wù)和風險，并按照機構(gòu)制定的審查和批準程序建立用戶和分配權(quán)限，定期檢查用戶實際權(quán)限與分配權(quán)限的符合性；對日志的備份、授權(quán)訪問、處理、保留時間等方面做出具體規(guī)定，使用統(tǒng)一的網(wǎng)絡(luò)時間，以確保日志記錄的準確；通過身份鑒別、訪問控制等嚴格的規(guī)定限制遠程管理賬戶的操作權(quán)限和登錄行為；定期檢查違反規(guī)定撥號上網(wǎng)或其他違反網(wǎng)絡(luò)安全策略行為。系統(tǒng)運維管理--網(wǎng)絡(luò)安全管理指定專人對網(wǎng)絡(luò)進行管理，負責運行91系統(tǒng)運維管理--系統(tǒng)安全管理指定專人對系統(tǒng)進行管理，刪除或者禁用不使用的系統(tǒng)缺省賬戶；制定系統(tǒng)安全管理制度，對系統(tǒng)安全配置、系統(tǒng)帳戶以及審計日志等方面作出規(guī)定；對能夠使用系統(tǒng)工具的人員及數(shù)量進行限制和控制；定期安裝系統(tǒng)的最新補丁程序，并根據(jù)廠家提供的可能危害計算機的漏洞進行及時修補，并在安裝系統(tǒng)補丁前對現(xiàn)有的重要文件進行備份；根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略，系統(tǒng)訪問控制策略用于控制分配信息系統(tǒng)、文件及服務(wù)的訪問權(quán)限；對系統(tǒng)賬戶進行分類管理，權(quán)限設(shè)定應(yīng)當遵循最小授權(quán)要求；對系統(tǒng)的安全策略、授權(quán)訪問、最小服務(wù)、升級與打補丁、維護記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體要求；規(guī)定系統(tǒng)審計日志的保存時間以便為可能的安全事件調(diào)查提供支持；進行系統(tǒng)漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞進行及時的修補；明確各類用戶的責任、義務(wù)和風險，對系統(tǒng)賬戶的登記造冊、用戶名分配、初始口令分配、用戶權(quán)限及其審批程序、系統(tǒng)資源分配、注銷等作出規(guī)定；對于賬戶安全管理的執(zhí)行情況進行檢查和監(jiān)督，定期審計和分析用戶賬戶的使用情況，對發(fā)現(xiàn)的問題和異常情況進行相關(guān)處理。系統(tǒng)運維管理--系統(tǒng)安全管理指定專人對系統(tǒng)進行管理，刪除或者92系統(tǒng)運維管理--惡意代碼防范管理提高所有用戶的防病毒意識，告知及時升級防病毒軟件；在讀取移動存儲設(shè)備(如軟盤、移動硬盤、光盤)上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也要進行病毒檢查；指定專人對網(wǎng)絡(luò)和主機進行惡意代碼檢測并保存檢測記錄；建立惡意代碼防范管理制度，對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出明確管理規(guī)定；建立惡意代碼集中防護的安全管理中心，確保整個網(wǎng)絡(luò)統(tǒng)一配置、統(tǒng)一升級、統(tǒng)一控制；定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫的升級情況并進行記錄，對主機防病毒產(chǎn)品、防病毒網(wǎng)關(guān)和郵件防病毒網(wǎng)關(guān)上截獲的危險病毒或惡意代碼進行及時分析處理，并形成書面的報表和總結(jié)匯報。系統(tǒng)運維管理--惡意代碼防范管理提高所有用戶的防病毒意識，告93系統(tǒng)運維管理--密碼管理建立密碼使用管理制度;密碼算法和密鑰使用應(yīng)符合國家密碼管理規(guī)定。系統(tǒng)運維管理--密碼管理建立密碼使用管理制度;94系統(tǒng)運維管理--變更管理確認系統(tǒng)中將發(fā)生的變更，并制定變更方案；建立變更管理制度，重要系統(tǒng)變更前，應(yīng)向主管領(lǐng)導申請，變更方案經(jīng)過評審、審批后方可實施變更；系統(tǒng)變更情況應(yīng)向所有相關(guān)人員通告；應(yīng)建立變更控制的申報和審批文件化程序，變更影響分析應(yīng)文檔化，變更實施過程應(yīng)記錄，所有文檔記錄應(yīng)妥善保存；中止變更并從失敗變更中恢復(fù)程序應(yīng)文檔化，應(yīng)明確過程控制方法和人員職責，必要時恢復(fù)過程應(yīng)經(jīng)過演練。系統(tǒng)運維管理--變更管理確認系統(tǒng)中將發(fā)生的變更，并制定變更方95系統(tǒng)運維管理--備份與恢復(fù)管理識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；規(guī)定備份信息的備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、存儲介質(zhì)、保存期等；根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略應(yīng)指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運輸?shù)姆椒ǎ恢付ㄏ鄳?yīng)的負責人定期維護和檢查備份及冗余設(shè)備的狀況，確保需要接入系統(tǒng)時能夠正常運行；根據(jù)設(shè)備備份方式，規(guī)定備份及冗余設(shè)備的安裝、配置和啟動的流程；建立控制數(shù)據(jù)備份和恢復(fù)過程的程序，備份過程應(yīng)記錄，所有文件和記錄應(yīng)妥善保存；根據(jù)系統(tǒng)級備份所采用的方式和產(chǎn)品，建立備份設(shè)備的安裝、配置、啟動、操作及維護過程控制的程序，記錄設(shè)備運行過程狀況，所有文件和記錄應(yīng)妥善保存；定期執(zhí)行恢復(fù)程序，檢查和測試備份介質(zhì)的有效性，確保可以在恢復(fù)程序規(guī)定時間內(nèi)完成備份恢復(fù)。系統(tǒng)運維管理--備份與恢復(fù)管理識別需要定期備份的重要業(yè)務(wù)信息96系統(tǒng)運維管理--安全事件管理所有用戶均有責任報告自己發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗證弱點；制定安全事件報告和處置管理制度，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責；分析信息系統(tǒng)的類型、網(wǎng)絡(luò)連接特點和信息系統(tǒng)用戶特點，了解本系統(tǒng)和同類系統(tǒng)已發(fā)生的安全事件，識別本系統(tǒng)需要防止發(fā)生的安全事件，事件可能來自攻擊、錯誤、故障、事故或災(zāi)難；根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法，根據(jù)安全事件在本系統(tǒng)產(chǎn)生的影響，將本系統(tǒng)計算機安全事件進行等級劃分；制定安全事件報告和響應(yīng)處理程序，確定事件的報告流程，響應(yīng)和處置的范圍、程度，以及處理方法等；在安全事件報告和響應(yīng)處理過程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結(jié)經(jīng)驗教訓，制定防止再次發(fā)生的補救措施，過程形成的所有文件和記錄均應(yīng)妥善保存；對造成系統(tǒng)中斷和造成信息泄密的安全事件應(yīng)采用不同的處理程序和報告程序。系統(tǒng)運維管理--安全事件管理所有用戶均有責任報告自己發(fā)現(xiàn)的安97系統(tǒng)運維管理--應(yīng)急預(yù)案管理在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程和事后教育和培訓等內(nèi)容；從人力、設(shè)備、技術(shù)和財務(wù)等方面確保應(yīng)急計劃的執(zhí)行有足夠的資源保障；對系統(tǒng)相關(guān)的人員進行培訓使之了解如何及何時使用應(yīng)急預(yù)案中的控制手段及恢復(fù)策略，對應(yīng)急預(yù)案的培訓至少每年舉辦一次；應(yīng)急預(yù)案應(yīng)定期演練，根據(jù)不同的應(yīng)急恢復(fù)內(nèi)容，確定演練的周期；規(guī)定應(yīng)急預(yù)案需要定期審查和根據(jù)實際情況更新的內(nèi)容，并按照執(zhí)行。系統(tǒng)運維管理--應(yīng)急預(yù)案管理在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事98信息安全管理制度示例物理環(huán)境安全管理規(guī)范終端計算機安全使用規(guī)范防火墻系統(tǒng)管理規(guī)范信息安全管理制度示例物理環(huán)境安全管理規(guī)范99物理環(huán)境安全管理規(guī)范安全域門禁控制監(jiān)控與報警人員安全管理設(shè)備放置與保護電源管理電纜管理環(huán)境管理與維護設(shè)備常規(guī)管理設(shè)備變更管理設(shè)備故障處理管理制度和規(guī)定

物理環(huán)境安全管理規(guī)范安全域100物理環(huán)境安全管理規(guī)范—安全域根據(jù)計算機機房內(nèi)部設(shè)備的功能、性質(zhì)、任務(wù)、類型以及重要程度不同，同時為了防止非法進入、危害和干擾，確保內(nèi)部設(shè)備的運行安全和信息安全，應(yīng)當在計算機機房內(nèi)部劃分安全域。計算機機房內(nèi)部的安全域包括主機、網(wǎng)絡(luò)、打印、操作、介質(zhì)、電源、空調(diào)等，對于特別重要的安全域，如主機、網(wǎng)絡(luò)、介質(zhì)、主控等，應(yīng)當設(shè)立完全獨立的房間和控制裝置，嚴格控制人員的出入。對于高污染的打印設(shè)備，應(yīng)當遠離主機、介質(zhì)安全域，并安排專門的環(huán)境。物理環(huán)境安全管理規(guī)范—安全域根據(jù)計算機機房內(nèi)部設(shè)備的功能、性101物理環(huán)境安全管理規(guī)范—門禁控制

計算機機房是信息處理的重要場所，計算機機房內(nèi)部的重要區(qū)域(如機房大門、主機安全域、網(wǎng)絡(luò)設(shè)備安全域、介質(zhì)安全域、主控安全域)必須設(shè)置控制人員出入的門禁系統(tǒng)（如磁卡、IC卡、指紋識別等），并建立24小時值班制度。門禁系統(tǒng)按照最小授權(quán)原則，嚴格控制計算機機房及內(nèi)部各安全域的人員出入。根據(jù)進入機房人員的崗位職責，對其實行不同區(qū)域的授權(quán)。外單位人員因工作需要，必須經(jīng)批準登記，在專人陪同下，進入計算機機房的指定區(qū)域。物理環(huán)境安全管理規(guī)范—門禁控制計算機機房是信息處理的重要場102物理環(huán)境安全管理規(guī)范—監(jiān)控與報警

計算機機房必須安裝場地監(jiān)控系統(tǒng)，對電源、空調(diào)、防水、防火等環(huán)境安全設(shè)備進行集中監(jiān)控，自動記錄機房環(huán)境的溫度、濕度、電壓、漏水等狀況，在檢測到異常情況時，自動報警。計算機機房必須安裝攝像監(jiān)控系統(tǒng)，對機房大門和重要區(qū)域進行監(jiān)控和記錄，在發(fā)現(xiàn)異常情況時，啟動報警系統(tǒng)。計算機機房的報警系統(tǒng)應(yīng)當與保衛(wèi)部門的保安系統(tǒng)以及公安110系統(tǒng)實現(xiàn)聯(lián)動。物理環(huán)境安全管理規(guī)范—監(jiān)控與報警計算機機房必須安裝場地監(jiān)控103物理環(huán)境安全管理規(guī)范—人員安全管理

計算機機房工作崗位屬于關(guān)鍵崗位，對機房工作人員除了進行崗位操作和技能培訓外，還必須進行相應(yīng)的信息安全、職業(yè)道德、法律規(guī)范的培訓，才能上崗工作。人力資源部門和信息安全管理部門應(yīng)定期對機房工作人員進行考核，對于不能達到考核標準的人員，應(yīng)該立即調(diào)離。對于機房工作人員，按照其工作崗位職能進行不同級別的授權(quán)，嚴格控制人員訪問機房內(nèi)部區(qū)域的權(quán)限，確保機房物理環(huán)境的安全。物理環(huán)境安全管理規(guī)范—人員安全管理計算機機房工作崗位屬于關(guān)104物理環(huán)境安全管理規(guī)范—設(shè)備放置與保護

計算機機房內(nèi)的設(shè)備應(yīng)放置在安全位置，降低環(huán)境和事故造成的風險，減少非法訪問的機會，設(shè)備放置與保護應(yīng)遵循下列原則：(1)關(guān)鍵設(shè)備和需要特別保護的設(shè)備，應(yīng)在物理上實現(xiàn)有效隔離。(2)設(shè)備放置應(yīng)有助于控制并降低潛在威脅和風險（如水、火、溫度、通風、塵埃、震動、輻射、盜竊、破壞）。(3)設(shè)備放置應(yīng)考慮到便于維護。(4)設(shè)備應(yīng)該放置在相應(yīng)的安全區(qū)域內(nèi)。物理環(huán)境安全管理規(guī)范—設(shè)備放置與保護計算機機房內(nèi)的105物理環(huán)境安全管理規(guī)范—電源管理計算機機房電源管理包括以下內(nèi)容：(1)配電系統(tǒng)應(yīng)當有詳細的配線圖，表明各路電源的電壓、容量、分配和連接的設(shè)備。(2)配電柜設(shè)備要放置在便于維護的明顯位置，每一個配電開關(guān)應(yīng)標明電源的來源和去向，以便掌握各相線的負載。(3)增加、遷移、變更設(shè)備的時候，必須及時修改配線圖。(4)對于要求雙路供電的設(shè)備，雙路電源必須來自不同的UPS。物理環(huán)境安全管理規(guī)范—電源管理計算機機房電源管理包括以下內(nèi)容106物理環(huán)境安全管理規(guī)范—電纜管理

電纜管理包括電源電纜和通信電纜的安全管理，主要包括以下內(nèi)容：(1)計算機機房內(nèi)，電源電纜和通信電纜應(yīng)鋪設(shè)在地板下，從不同的線槽鋪設(shè)、走線，并通過屏蔽保護以避免干擾，同時還要考慮阻燃、防水、防蟲、防鼠、防腐蝕等保護。(2)根據(jù)設(shè)備的用電負載合理選用電纜，按色標明相線、零線和地線。(3)對于多路主干通信線路進入計算機機房的情況，應(yīng)采用不同方向，不同電纜井的入戶方式，以降低外界施工造成通信線路被全面破壞的風險。物理環(huán)境安全管理規(guī)范—電纜管理電纜管理包括電源電纜和通信電107物理環(huán)境安全管理規(guī)范—環(huán)境管理與維護

計算機機房中，環(huán)境管理與維護的內(nèi)容包括：

(1)定時檢查和記錄機房環(huán)境的溫度、濕度、漏水、通風系統(tǒng)的運行情況。

(2)定時巡檢各種環(huán)境設(shè)備的運轉(zhuǎn)狀況，記錄出現(xiàn)的故障代碼，供有關(guān)人員進行設(shè)備維修時使用。

(3)定期對各類環(huán)境設(shè)備進行例行檢修，確保環(huán)境設(shè)備和系統(tǒng)處于良好的運行狀態(tài)。環(huán)境設(shè)備的定期檢修包括：

(1)對空調(diào)系統(tǒng)，每月檢測壓縮機的工作電流，清潔過濾網(wǎng)、排水管和加濕器；每季度清掃室外冷凝機組，確保通風順暢。

(2)對電源和UPS系統(tǒng)，每月分析系統(tǒng)的運行記錄；每季度進行蓄電池的充放電測試；每半年對UPS進行雙機切換操作，并對電源配電柜進行檢修。

(3)對發(fā)電機組，每月啟動一次，每季度進行備用發(fā)電機與市電切換的帶載演練。

(4)對監(jiān)控系統(tǒng)和門禁系統(tǒng)，要定期收集整理記錄信息，分類存檔，發(fā)現(xiàn)問題及時查清。

(5)定期檢查消防滅火設(shè)施，及時更換不合格的設(shè)備。物理環(huán)境安全管理規(guī)范—環(huán)境管理與維護計算機機房中，環(huán)境管理108物理環(huán)境安全管理規(guī)范—設(shè)備常規(guī)管理

對機房工作人員、維修技術(shù)人員加強保密紀律教育，自覺遵守操作程序，不得隨意向無關(guān)人員透露工作流程、軟件版本、機器配置等信息。不得在機房內(nèi)拍照，不得隨意取走機房內(nèi)的設(shè)備和資料。建立簽收制度，設(shè)立專職介質(zhì)管理崗位，嚴格管理各種存儲介質(zhì)和信息報表文檔。介質(zhì)設(shè)備在報廢之前應(yīng)刪除信息，并集中統(tǒng)一保管，按照相應(yīng)規(guī)范的保密性要求進行報廢處理。對設(shè)備進行維護，應(yīng)當提前做好備份，外單位、組織人員現(xiàn)場維護時，應(yīng)由本單位、組織相關(guān)人員陪同，并且采取外單位、組織人員指導本單位、組織人員操作的方式，對磁盤等設(shè)備的維修應(yīng)該盡量采用現(xiàn)場維護或者由本單位、組織人員陪同送修。不允許遠程登錄生產(chǎn)或者開發(fā)系統(tǒng)進行維護。在無人使用或者離開時，應(yīng)注銷登錄，或者啟動屏幕保護等安全措施。物理環(huán)境安全管理規(guī)范—設(shè)備常規(guī)管理對機房工作人員、維修技術(shù)109物理環(huán)境安全管理規(guī)范—設(shè)備變更管理

為確保機房內(nèi)務(wù)系統(tǒng)的安全運行，對任何設(shè)備的遷移、擴容和升級、維修、施工等操作都應(yīng)該制定相應(yīng)的制度和標準工作流程，包括變更方案、實施步驟和回退措施等。安全檢查部門應(yīng)該參與變更管理方案的審定；實施結(jié)束，應(yīng)向安全檢查部門提交相應(yīng)的記錄和技術(shù)文檔。任何變更操作應(yīng)由兩名以上工程技術(shù)人員完成，外單位、組織人員進行的操作應(yīng)由本單位、組織相關(guān)人員陪同。當機房內(nèi)的施工和維修操作必須明火作業(yè)時，要報經(jīng)消防安全部門和保衛(wèi)部門同意，采取必要的防范措施，在指定時間、地點按計劃、按步驟完成作業(yè)，經(jīng)檢查確認沒有火災(zāi)隱患后，方可結(jié)束施工。任何施工和維修操作所使用的電氣設(shè)備，應(yīng)當單獨連接維修電源，以保證不對生產(chǎn)設(shè)備產(chǎn)生干擾。

物理環(huán)境安全管理規(guī)范—設(shè)備變更管理為確保機房內(nèi)務(wù)系統(tǒng)的安全110物理環(huán)境安全管理規(guī)范—設(shè)備故障處理按照機房環(huán)境設(shè)備對生產(chǎn)系統(tǒng)造成的影響以及環(huán)境設(shè)備的修復(fù)時間，可以將故障分為兩類：

(1)一類故障：包括電源等系統(tǒng)故障。

(2)二類故障：空調(diào)、通風、發(fā)電機、門禁、照明等系統(tǒng)故障。發(fā)生一類故障，應(yīng)及時采取應(yīng)急措施，如切換到UPS或者啟動發(fā)電機供電，同時以最快速度修復(fù)。發(fā)生二類故障，應(yīng)在不影響正常生產(chǎn)的情況下，盡快查找故障原因并排除故障。物理環(huán)境安全管理規(guī)范—設(shè)備故障處理按照機房環(huán)境設(shè)備對生產(chǎn)系統(tǒng)111物理環(huán)境安全管理規(guī)范—管理制度和規(guī)定

制定嚴密的規(guī)范和各項管理制度，包括值班制度、機房管理規(guī)定等，并將上述規(guī)定張貼于相應(yīng)的工作區(qū)域內(nèi)。安排專人負責管理制度實施情況的監(jiān)督和檢查，并處理機房的日常管理事項。物理環(huán)境安全管理規(guī)范—管理制度和規(guī)定制定嚴密的規(guī)范和各項管112終端計算機安全使用規(guī)范(1)辦公桌面系統(tǒng)必須安裝防病毒軟件，并且啟動病毒監(jiān)控和在線自動更新功能。(2)為了防止客戶機在瀏覽互聯(lián)網(wǎng)時，被含有惡意代碼的程序所感染，應(yīng)將IE瀏覽器的安全級別調(diào)整為“中”，并將隱私級別設(shè)置為“中高”。(3)應(yīng)當安裝操作系統(tǒng)最新的補丁軟件包，彌補操作系統(tǒng)本身存在的安全漏洞，防止被攻擊者或者計算機病毒所利用。終端計算機安全使用規(guī)范(1)辦公桌面系統(tǒng)必須安裝防病毒軟件，113終端計算機安全使用規(guī)范(4)啟動操作系統(tǒng)的自動更新服務(wù)，操作系統(tǒng)會定期自動升級并安裝最新的補丁程序。(5)應(yīng)該按照一定的規(guī)則設(shè)置桌面系統(tǒng)的登錄密碼，并且定期修改，減少登錄密碼泄露或被破解的可能性。(6)定時清除IE瀏覽器的臨時文件夾，可以防止部分敏感內(nèi)容的泄露。終端計算機安全使用規(guī)范(4)啟動操作系統(tǒng)的自動更新服務(wù)，操作114終端計算機安全使用規(guī)范(7)為防止意外情況造成文件損失，注意定期備份重要的文件，并保管好存儲備份文件的介質(zhì)。(8)為防止惡意代碼植入系統(tǒng)，預(yù)防計算機病毒感染，在收到來歷不明的電子郵件時，應(yīng)注意不要隨意打開郵件，并立即予以刪除。(9)禁止在未經(jīng)授權(quán)的情況下，私自修改系統(tǒng)的計算機命名標識和網(wǎng)絡(luò)配置。終端計算機安全使用規(guī)范(7)為防止意外情況造成文件損失，注意115終端計算機安全使用規(guī)范(10)禁止任何聯(lián)入辦公網(wǎng)絡(luò)的桌面系統(tǒng)使用調(diào)制解調(diào)器撥號上網(wǎng)。(11)禁止在未經(jīng)授權(quán)的情況下，私自安裝任何應(yīng)用軟件，在獲得授權(quán)后，只允許安裝與工作有關(guān)的正版應(yīng)用軟件。(12)禁止訪問互聯(lián)網(wǎng)上與工作無關(guān)或來歷不明的站點，禁止從互聯(lián)網(wǎng)下載與工作無關(guān)的文件。終端計算機安全使用規(guī)范(10)禁止任何聯(lián)入辦公網(wǎng)絡(luò)的桌面系統(tǒng)116防火墻系統(tǒng)管理規(guī)范崗位職能規(guī)劃部署，配置測試防火墻狀態(tài)監(jiān)控防火墻日志分析安全事件的響應(yīng)處理防火墻系統(tǒng)管理規(guī)范崗位職能117防火墻系統(tǒng)管理規(guī)范—崗位職能

防火墻的部署與運行維護工作對管理員技術(shù)能力要求比較高，需要管理人員具有較高的網(wǎng)絡(luò)方面的管理技術(shù)；同時，根據(jù)指定的防火墻產(chǎn)品，還需要對防火墻管理人員提供必要的產(chǎn)品相關(guān)培訓。防火墻管理員應(yīng)當承擔以下責任：

(1)規(guī)劃和部署，策略制定，規(guī)則配置與測試；

(2)防火墻狀態(tài)監(jiān)控；

(3)防火墻日志審計分析；

(4)安全事件的響應(yīng)處理。防火墻系統(tǒng)管理規(guī)范—崗位職能防火墻的部署與運行維護工118防火墻系統(tǒng)管理規(guī)范—規(guī)劃部署，配置測試

防火墻位于網(wǎng)絡(luò)的關(guān)鍵通道，對其安全規(guī)則實施的適應(yīng)性有很高的要求，應(yīng)當防止在配置上的錯誤以及對本單位安全策略的違背。防火墻完成初始配置之后，要求管理人員在網(wǎng)絡(luò)針對防火墻配置進行一定的測試，期望能夠預(yù)先發(fā)現(xiàn)可能出現(xiàn)的功能問題或性能問題，及時作出調(diào)整。防火墻系統(tǒng)管理規(guī)范—規(guī)劃部署，配置測試防火墻位于網(wǎng)絡(luò)的關(guān)鍵119防火墻系統(tǒng)管理規(guī)范

—防火墻狀態(tài)監(jiān)控

防火墻本身的異常狀態(tài)對于整個網(wǎng)絡(luò)的安全來說舉足輕重。防火墻狀態(tài)監(jiān)控分為網(wǎng)絡(luò)狀態(tài)和系統(tǒng)狀態(tài)，這兩種狀態(tài)的異常都意味著整個網(wǎng)絡(luò)安全狀況的異常。異?？赡苁怯膳及l(fā)的安全信息流引起，但更大的可能是出現(xiàn)了網(wǎng)絡(luò)安全問題：安全威脅行為的發(fā)生，或者防火墻系統(tǒng)本身出現(xiàn)問題——這兩者都必須引起管理人員關(guān)注。防火墻系統(tǒng)管理規(guī)范

—防火墻狀態(tài)監(jiān)控防火墻本身的異常狀態(tài)對120防火墻系統(tǒng)管理規(guī)范

—防火墻日志分析

防火墻管理員必須定期對防火墻收集的日志進行備份和分析。管理員每周必須對防火墻新產(chǎn)生的日志進行一次完整的分析，了解網(wǎng)絡(luò)和信息系統(tǒng)所面臨的安全威脅現(xiàn)狀，并根據(jù)分析結(jié)果及時調(diào)整防火墻的安全規(guī)則配置。防火墻系統(tǒng)管理規(guī)范

—防火墻日志分析防火墻管理員必須定期對121防火墻系統(tǒng)管理規(guī)范

—安全事件的響應(yīng)處理

因為防火墻本身的安全性和正常運行影響著整個網(wǎng)絡(luò)的安全性，所以防火墻監(jiān)控的安全事件更多的是針對防火墻系統(tǒng)本身發(fā)生的可審計事件。對于防火墻的入侵/探測行為、越權(quán)/濫用行為，可以通過系統(tǒng)安全事件的審計進行預(yù)防和監(jiān)測。防火墻對重要的安全事件進行實時的報警而不是日志備份，因此，管理員有能力及時地根據(jù)安全事件報警信息作出響應(yīng)。管理員在收到防火墻發(fā)送的報警信息之后，應(yīng)當盡快檢查防火墻，以確定是否有危害網(wǎng)絡(luò)安全的事件發(fā)生，并上報上級信息安全管理部門。防火墻系統(tǒng)管理規(guī)范

—安全事件的響應(yīng)處理因為防火墻122網(wǎng)絡(luò)安全

結(jié)構(gòu)安全和網(wǎng)段劃分網(wǎng)絡(luò)訪問控制撥號訪問控制網(wǎng)絡(luò)安全審計邊界完整性檢測網(wǎng)絡(luò)入侵防范網(wǎng)絡(luò)設(shè)備防護惡意代碼防范網(wǎng)絡(luò)安全結(jié)構(gòu)安全和網(wǎng)段劃分123主機系統(tǒng)安全

身份鑒別自主訪問控制

強制訪問控制安全審計系統(tǒng)保護剩余信息保護入侵防范惡意代碼防范資源控制主機系統(tǒng)安全身份鑒別124QQSG網(wǎng)絡(luò)服務(wù)控制管理系統(tǒng)

網(wǎng)絡(luò)安全審計(硬件)

部署在網(wǎng)絡(luò)的出入口處，或不同網(wǎng)絡(luò)的連接處，以及不同安全管理級別要求的網(wǎng)絡(luò)之間。能夠?qū)崿F(xiàn)全面監(jiān)測網(wǎng)絡(luò)系統(tǒng)的流量狀況，和帶寬使用情況并對其進行控制管理，解決網(wǎng)絡(luò)不透明、網(wǎng)絡(luò)帶寬被非法占用，網(wǎng)絡(luò)業(yè)務(wù)服務(wù)質(zhì)量嚴重下降，網(wǎng)上行為無法監(jiān)管，無法實時監(jiān)控各種惡意攻擊和網(wǎng)絡(luò)數(shù)據(jù)流等問題。

QQSG網(wǎng)絡(luò)服務(wù)控制管理系統(tǒng)

網(wǎng)絡(luò)安全審計(硬件)部署125北京博瑞勤公司網(wǎng)絡(luò)審計與監(jiān)控系統(tǒng)

網(wǎng)絡(luò)安全審計(軟件)

通過對網(wǎng)絡(luò)中流動的數(shù)據(jù)的監(jiān)控分析，能夠監(jiān)控到內(nèi)部網(wǎng)絡(luò)中的外網(wǎng)訪問行為，如郵件、MSN/QQ聊天、Web訪問、網(wǎng)絡(luò)游戲、文件傳輸、在線電影頻道等等行為。北京博瑞勤公司網(wǎng)絡(luò)審計與監(jiān)控系統(tǒng)

網(wǎng)絡(luò)安全審計(軟件)126極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng)

主機安全審計

桌面安全管理補丁分發(fā)管理外設(shè)和接口管理安全接入管理外聯(lián)監(jiān)控資產(chǎn)管理漏洞掃描極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng)

主機安全審計桌面安127網(wǎng)絡(luò)層惡意代碼防范網(wǎng)絡(luò)層惡意代碼防范產(chǎn)品包括防病毒網(wǎng)關(guān)、防垃圾郵件系統(tǒng)（或郵件過濾系統(tǒng)）和網(wǎng)絡(luò)防病毒系統(tǒng)。目前市場上流行的產(chǎn)品多為防病毒網(wǎng)關(guān)和防垃圾郵件系統(tǒng)二合一產(chǎn)品，如：天融信公司的TopFilter8000和McAfee3000。

網(wǎng)絡(luò)層惡意代碼防范網(wǎng)絡(luò)層惡意代碼防范產(chǎn)品包括防病毒網(wǎng)關(guān)、防垃128系統(tǒng)層惡意代碼防范防病毒軟件（瑞星，諾頓，KILL等）服務(wù)器系統(tǒng)加固（SSR）

--惡意代碼防范

--入侵防范

--強制訪問控制系統(tǒng)層惡意代碼防范防病毒軟件（瑞星，諾頓，KILL等）129主機系統(tǒng)安全解決方案主機系統(tǒng)強制訪問控制服務(wù)器系統(tǒng)加固（SSR）

主機系統(tǒng)安全解決方案主機系統(tǒng)強制訪問控制130物理層系統(tǒng)層應(yīng)用層網(wǎng)絡(luò)層管理層ROST技術(shù)安全水平操作系統(tǒng)安全加固技術(shù)ReinforcementOperatingSystemTechnique物理層系統(tǒng)層應(yīng)用層網(wǎng)絡(luò)層管理層ROST技術(shù)安全水平操作系統(tǒng)安131經(jīng)過以ROST技術(shù)為基礎(chǔ)的SSR加固后，自主訪問控制的C2級系統(tǒng)就被改造成為強制訪問控制的B1級系統(tǒng)操作系統(tǒng)經(jīng)過以ROST技術(shù)為基礎(chǔ)的SSR加固后，不但加強了系統(tǒng)層的安全防護，而且整個信息系統(tǒng)的安全水平也得到大幅度的提高，彌補了系統(tǒng)層這塊短板的缺陷經(jīng)過以ROST技術(shù)為基礎(chǔ)的SSR加固后，自主訪問控制的C2級132服務(wù)器系統(tǒng)加固(SSR)滿足主機系統(tǒng)強制訪問控制的要求，從根本上免疫了針對服務(wù)器操作系統(tǒng)的一切惡意攻擊；