系統(tǒng)安全保障方案V1.3

互聯(lián)網(wǎng)信息化系統(tǒng)安全保障方案(版本號(hào)：V1.3.2)2017年03月份 信息化系統(tǒng)運(yùn)行在網(wǎng)絡(luò)系統(tǒng)上，依托內(nèi)外網(wǎng)向系統(tǒng)相關(guān)人員提供相關(guān)信息與服安全目標(biāo)與原則學(xué)源；，特別是防止DoS/DDoS等惡意攻擊，確保有效的應(yīng)急處理和災(zāi)難恢復(fù)機(jī)制,確保7)、制定相關(guān)有安全要求和規(guī)范。全重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，提供系統(tǒng)安全性。4)、整體性和統(tǒng)一性原則：信息化系統(tǒng)安全涉及各個(gè)環(huán)節(jié)，包括設(shè)備、軟件、6)、統(tǒng)籌規(guī)劃，分步實(shí)施原則：由于政策規(guī)定、服務(wù)需求的不明朗，環(huán)境、時(shí)系后全7)動(dòng)態(tài)發(fā)展原則：要根據(jù)系統(tǒng)安全的變化不斷調(diào)整安全措施，適應(yīng)新的系統(tǒng)環(huán)異在容災(zāi)主要是預(yù)防場(chǎng)地問題帶來的數(shù)據(jù)不可用等突發(fā)情況。這些場(chǎng)地問戰(zhàn)爭(zhēng)、地震、火災(zāi)、水災(zāi)等造成機(jī)房毀壞或不可用等。通過異地容系統(tǒng)將這種故障造成的損失減到最小。由IT整體建設(shè)考慮。機(jī)房監(jiān)控機(jī)房監(jiān)控主要是預(yù)防盜竊、人為破壞、私自闖入等情況。監(jiān)控手等。安全層面安全需求安全需求描述后續(xù)項(xiàng)目可利用目前已有機(jī)房設(shè)施。機(jī)房監(jiān)控線路備份防電磁泄漏媒體安全御邊界防護(hù)設(shè)備備份用于預(yù)防關(guān)鍵設(shè)備意外損后續(xù)項(xiàng)目中關(guān)鍵服務(wù)器、存儲(chǔ)系統(tǒng)應(yīng)線路備份主要是預(yù)防通信線路意外中后續(xù)項(xiàng)目中服務(wù)器與網(wǎng)絡(luò)連接，以及網(wǎng)絡(luò)出口應(yīng)考慮線路備份。電源備份電源備份用于預(yù)防電源故障引起的短時(shí)電力中斷。后續(xù)項(xiàng)目可利用目前已有機(jī)房電源設(shè)施。防電磁泄漏用于預(yù)防電磁泄漏引起的數(shù)據(jù)泄漏。防電磁泄漏手段有屏蔽機(jī)房、安裝干擾器、線路加密等。后續(xù)項(xiàng)目可利用目前已有機(jī)房設(shè)施。媒體安全用于預(yù)防因媒體不可用引起的數(shù)據(jù)丟失。要求對(duì)數(shù)據(jù)進(jìn)行備份，且備份數(shù)據(jù)的存放環(huán)境要滿足防火、防高溫、防震、防水、防潮的要求。后續(xù)項(xiàng)目應(yīng)考慮存儲(chǔ)媒體的安全。采用磁帶機(jī)進(jìn)行離線備份。深層防御就是采用層次化保護(hù)策略，合理劃分安全域，對(duì)每個(gè)安全域及邊界采用適當(dāng)?shù)挠行ПＷo(hù)。后續(xù)項(xiàng)目系統(tǒng)部署時(shí)應(yīng)加以考慮。邊界防護(hù)用于預(yù)防來自本安全域以外的各種惡意攻擊和遠(yuǎn)程訪問控制。邊系統(tǒng)監(jiān)測(cè)備份恢復(fù)漏洞掃描安全審計(jì)網(wǎng)絡(luò)防病毒用于預(yù)防病毒在網(wǎng)絡(luò)內(nèi)傳播、感染和發(fā)作。后續(xù)項(xiàng)目利用已有網(wǎng)絡(luò)防病毒系統(tǒng)。系統(tǒng)監(jiān)測(cè)用于保護(hù)信息化系統(tǒng)WEB頁(yè)后續(xù)項(xiàng)目實(shí)施方案設(shè)計(jì)時(shí)統(tǒng)籌考慮。備份恢復(fù)用于意外情況下的數(shù)據(jù)備份后續(xù)項(xiàng)目方案設(shè)計(jì)時(shí)應(yīng)加以考慮，利用數(shù)據(jù)庫(kù)提供的備份工具進(jìn)行備份恢漏洞掃描用于及時(shí)發(fā)現(xiàn)操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、應(yīng)用系統(tǒng)以及網(wǎng)絡(luò)協(xié)議安全漏洞，防止安全漏洞引起的安全隱后續(xù)項(xiàng)目實(shí)施時(shí)應(yīng)加以考慮。安全審計(jì)用于事件追蹤。要求網(wǎng)絡(luò)、安全設(shè)備和操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)有后續(xù)項(xiàng)目實(shí)施時(shí)應(yīng)加以考慮。身份認(rèn)證用于保證用戶身份的真實(shí)性。信息化系統(tǒng)用戶采用實(shí)名制，實(shí)行嚴(yán)格的身份認(rèn)證，確保系統(tǒng)用戶身數(shù)據(jù)完整性數(shù)據(jù)傳輸機(jī)密性抗抵賴安全審計(jì)制度建設(shè)權(quán)限管理指對(duì)信息化系統(tǒng)中的操作和訪問進(jìn)行權(quán)限管理，防止非授權(quán)訪問和操作。安全層面安全需求安全需求描述信息化系統(tǒng)實(shí)行嚴(yán)格的權(quán)限管理，防止越權(quán)訪問。數(shù)據(jù)完整性指對(duì)信息化系統(tǒng)中存儲(chǔ)、傳輸?shù)臄?shù)據(jù)進(jìn)行數(shù)據(jù)完整性保護(hù)。信息化系統(tǒng)開發(fā)與實(shí)施中應(yīng)滿足數(shù)據(jù)完數(shù)據(jù)傳輸機(jī)密性指對(duì)信息化系統(tǒng)與其它安全域之間傳輸?shù)拿舾行畔⑦M(jìn)行加鑒于信息化系統(tǒng)部署在內(nèi)外網(wǎng)，數(shù)據(jù)機(jī)密性要求不高，暫對(duì)數(shù)據(jù)傳輸機(jī)密抗抵賴就是通過采用數(shù)字簽名方法保證當(dāng)事人行為的不可否認(rèn)性。根據(jù)信息化系統(tǒng)的信息秘密性等級(jí)，暫不要求抗抵賴功能。對(duì)涉密信息的訪問和操作要有完善的日志記錄，并提供相應(yīng)的審計(jì)工具。信息化系統(tǒng)應(yīng)提供日志記錄功能。人才隊(duì)伍、應(yīng)急響應(yīng)支援體系等的建后續(xù)項(xiàng)目要求相應(yīng)的組織保障。度，機(jī)房管理制度，卡、機(jī)具生產(chǎn)管理制度，設(shè)備管理制度等的建設(shè)。后續(xù)項(xiàng)目要求相應(yīng)的制度建設(shè)。除有關(guān)的上述內(nèi)容外，還應(yīng)建立明確的信息發(fā)布、維護(hù)管理制度。安全標(biāo)準(zhǔn)規(guī)范建設(shè)包括：數(shù)據(jù)交換安全協(xié)議、認(rèn)證協(xié)議、密碼服務(wù)接口等標(biāo)準(zhǔn)建設(shè)標(biāo)準(zhǔn)規(guī)范的建立。根據(jù)信息化系統(tǒng)需要，建立相關(guān)的標(biāo)準(zhǔn)與規(guī)范。安全服務(wù)包括安全培訓(xùn)、日常維護(hù)、安全評(píng)估、安全加固、緊急響應(yīng)等根安全服務(wù)技術(shù)建設(shè)據(jù)信息化系統(tǒng)維護(hù)管理需要，明確安全需求，采取必要的安全服務(wù)措施，及時(shí)解決或預(yù)防各種安全問題。安全管理技術(shù)建設(shè)主要指充分利用已有的安全管理技術(shù)，利用和開發(fā)相關(guān)的安全管理工具，提高安全管理的自動(dòng)化、智能化水平。應(yīng)根據(jù)信息化系統(tǒng)維護(hù)管理需要進(jìn)行安全技術(shù)建設(shè)。有架化1)、安全隔離措施2)、網(wǎng)絡(luò)防病毒系統(tǒng)3)、監(jiān)控檢測(cè)系統(tǒng)4)、設(shè)備可靠性設(shè)計(jì)5)、備份恢復(fù)系統(tǒng)以下分別闡述?；到y(tǒng)所在安全域內(nèi)傳播、感染和發(fā)作。后續(xù)項(xiàng)監(jiān)控檢測(cè)系統(tǒng)用于及時(shí)發(fā)現(xiàn)操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、應(yīng)用系統(tǒng)以及網(wǎng)絡(luò)協(xié)議安全入壞行為進(jìn)行檢測(cè)和預(yù)警，項(xiàng)目實(shí)施時(shí)統(tǒng)籌考慮。信息化系統(tǒng)應(yīng)考慮設(shè)備可靠性設(shè)計(jì)問題，系統(tǒng)關(guān)鍵設(shè)備服務(wù)器應(yīng)考慮避免單點(diǎn)故信息化系統(tǒng)應(yīng)建立有效的備份恢復(fù)系統(tǒng)，確保在系統(tǒng)出現(xiàn)故障的情況下能夠重建信息系統(tǒng)設(shè)計(jì)歸結(jié)起來要解決資源、用戶、權(quán)限三類問題，在這三大要素中，用統(tǒng)管夠訪1)、安全管理組織：形成一個(gè)統(tǒng)一領(lǐng)導(dǎo)、分工負(fù)責(zé)，能夠有效管理整個(gè)系統(tǒng)安2)