企業(yè)信息化安全方案設(shè)計

一、企業(yè)信息系統(tǒng)現(xiàn)狀某企業(yè)生產(chǎn)業(yè)務(wù)管理系統(tǒng)于2006年6月開始實施，生產(chǎn)管理系統(tǒng)以產(chǎn)品的采購、運輸、儲存、銷售、財務(wù)管理與控制為基本管理對象，包括供應(yīng)鏈管理、客戶管理和電子商務(wù)等模塊的功能；目前整個網(wǎng)絡(luò)覆蓋本單位生產(chǎn)園區(qū)內(nèi)各車間。系統(tǒng)主要功能是對生產(chǎn)業(yè)務(wù)信息進(jìn)行采集、加工、存儲、傳輸和檢索等。本系統(tǒng)主要承載本單位生產(chǎn)信息管理業(yè)務(wù)，是針對此業(yè)務(wù)的單一信息系統(tǒng)。生產(chǎn)業(yè)務(wù)管理系統(tǒng)由本單位信息中心負(fù)責(zé)管理，承擔(dān)其信息安全保護(hù)責(zé)任，信息中心為生產(chǎn)業(yè)務(wù)管理系統(tǒng)定級的責(zé)任單位。生產(chǎn)業(yè)務(wù)管理系統(tǒng)是信息中心的定級對象。二、信息系統(tǒng)安全分析生產(chǎn)信息管理系統(tǒng)的業(yè)務(wù)信息遭到入侵、修改、增加或刪除等不明侵害，會對社會秩序和公眾利益造成影響和損害。具體表現(xiàn)為，本單位生產(chǎn)的產(chǎn)品其生產(chǎn)銷售情況關(guān)系到社會的穩(wěn)定和人民群眾的切身利益，符合等保三級的定級標(biāo)準(zhǔn)。生產(chǎn)信息管理系統(tǒng)的安全由技術(shù)和管理兩方面保障，技術(shù)方面包括物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全與備份恢復(fù)，管理方面包括安全管理制度、安全管理是機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運維管理。通過訪談、問卷調(diào)研和工具測試等手段，與等級保護(hù)第三級的標(biāo)準(zhǔn)要求進(jìn)行對比。經(jīng)過分析整理發(fā)現(xiàn)存在以下問題：檢測內(nèi)容檢查項符合數(shù)基本符合數(shù)不符合數(shù)技術(shù)要求物理安全3115106網(wǎng)絡(luò)安全347522主機安全309714應(yīng)用安全338619數(shù)據(jù)安全與備份恢復(fù)9513管理要求安全管理制度10217安全管理是機構(gòu)19865人員安全管理17854系統(tǒng)建設(shè)管理4633310系統(tǒng)運維管理6142613合計29013750103信息安全建設(shè)存在的主要問題：1)網(wǎng)絡(luò)安全方面，對網(wǎng)絡(luò)設(shè)備的安全審計和網(wǎng)絡(luò)設(shè)備的自身防護(hù)等。2)主機安全方面，操作系統(tǒng)長時間未更新補丁，部分服務(wù)器未安裝防病毒軟件。3)安全管理制度的制定和操作流程的標(biāo)準(zhǔn)化規(guī)范化。本方案以等保三級為標(biāo)準(zhǔn)對企業(yè)的現(xiàn)狀進(jìn)行分析，按標(biāo)準(zhǔn)進(jìn)行查缺補漏，根據(jù)信息系統(tǒng)存在的問題進(jìn)行整改，并提供詳細(xì)的解決方案。三、安全技術(shù)總體設(shè)計安全建設(shè)目標(biāo)根據(jù)信息安全等級保護(hù)的要求，從技術(shù)體系和管理體系兩個方面入手、完善信息系統(tǒng)的安全建設(shè)，達(dá)到信息安全等級保護(hù)三級安全防護(hù)的要求。進(jìn)行信息系統(tǒng)整體安全建設(shè)規(guī)劃，在這個安全策略的控制和指導(dǎo)下，綜合設(shè)計信息系統(tǒng)的安全防護(hù)措施、安全檢測與響應(yīng)手段和信息安全綜合管理能力，建設(shè)一個完善的信息安全體系，保證信息系統(tǒng)的安全。方案建設(shè)原則和依據(jù)為了更有效地保障信息系統(tǒng)的安全，設(shè)計安全方案時應(yīng)結(jié)合網(wǎng)絡(luò)安全法的要求和國家信息系統(tǒng)安全等級保護(hù)的要求，結(jié)合多年的安全實踐設(shè)計完善的解決方案。本方案設(shè)計依據(jù)的政策法規(guī)與標(biāo)準(zhǔn)如下：國家政策法規(guī)1)《中華人民共和國網(wǎng)絡(luò)安全法》2)《中華人民共和國計算機信息系統(tǒng)安全保護(hù)條例》（國務(wù)院147號令）；3)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）；4)《關(guān)于信息安全等級保護(hù)工作的實施意見》（公通字[2004]66號）；5)《信息安全等級保護(hù)管理辦法》（公通字[2007]43號）；6)《信息安全等級保護(hù)備案實施細(xì)則》（公信安[2007]1360號）；7)《關(guān)于開展信息安全等級保護(hù)安全建設(shè)整改工作的指導(dǎo)意見》（公信安[2009]1429號）。等級保護(hù)及信息安全相關(guān)國家標(biāo)準(zhǔn)（1）《計算機信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》（GB17859-1999）；（2）《信息系統(tǒng)安全等級保護(hù)實施指南》（GBT25058-2010）；（3）《信息系統(tǒng)安全保護(hù)等級定級指南》（GB/T22240-2008）；（4）《信息系統(tǒng)安全等級保護(hù)基本要求》（GB/T22239-2008）；（5）《信息系統(tǒng)等級保護(hù)安全設(shè)計技術(shù)要求》（GB/T25070-2010）；（6）《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)測評要求》；（7）《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)測評過程指南》；（8）《信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》（GB/T20984-2007）；（9）《信息安全技術(shù)信息系統(tǒng)安全管理要求》（GB/T20269-2006）；（10）《信息安全管理體系要求》（GB/T22080-2008）；（11）《信息安全管理實用準(zhǔn)則》（GB/T22081-2008）；（12）《信息系統(tǒng)通用安全技術(shù)要求》（GB/T20271-2006）等相關(guān)的一系列具體技術(shù)標(biāo)準(zhǔn)。方案總體架構(gòu)依據(jù)本方案的設(shè)計依據(jù)和標(biāo)準(zhǔn)，基于網(wǎng)絡(luò)安全法和信息安全等級保護(hù)的要求，結(jié)合安全模型在整體的安全策略的控制和指導(dǎo)下，在綜合運用防火墻、身份認(rèn)證和加密等防護(hù)工具的同時，利用漏洞掃描和入侵檢測等系統(tǒng)了解和評估系統(tǒng)的安全狀態(tài)，并通過備份容災(zāi)方式來保證系統(tǒng)在受到破壞后的迅速恢復(fù)。1.安全策略安全策略的制定要結(jié)合現(xiàn)有的信息系統(tǒng)實際情況制定，安全策略要明確被保護(hù)的主體和原因，明確安全工作的具體職責(zé)，提供解決出現(xiàn)的問題的基準(zhǔn)。安全策略要在一段時期內(nèi)固定不變。2.安全防護(hù)1)物理安全的目的是保護(hù)中心機房以及供電設(shè)備、服務(wù)器、網(wǎng)絡(luò)安全設(shè)備和通信鏈路等免受自然災(zāi)害、人為破壞等攻擊；同時能驗證用戶的身份和使用權(quán)限，防止用戶越權(quán)操作；確保中心機房有一個良好的電磁兼容環(huán)境；建立完備的機房安全管理制度，妥善保管備份磁帶和文檔資料；2)網(wǎng)絡(luò)防問控制，防火墻是保證網(wǎng)絡(luò)安全的重要屏障，可以實現(xiàn)不同安全級別的網(wǎng)絡(luò)安全隔離，保證涉密網(wǎng)絡(luò)的邊界安全，通過制定和實施相應(yīng)的安全策略保證不同安全級別之間的網(wǎng)絡(luò)不發(fā)生越級通信。防火墻在任何情況下都不應(yīng)該被旁路。3)網(wǎng)關(guān)病毒過濾，目前絕大部分的病毒威脅來源于網(wǎng)絡(luò)，尤其是電子郵件和網(wǎng)頁瀏覽，因此部署一個有效的安全網(wǎng)關(guān)防護(hù)系統(tǒng)來解決邊界病毒、垃圾郵件和非法內(nèi)容是非常必要的。例如防毒墻、或是配置防毒模塊的安全網(wǎng)關(guān)，終端的安全防護(hù)以網(wǎng)絡(luò)版的殺毒軟件為主，并配以終端安全管理軟件，以防止非法內(nèi)聯(lián)。3.安全檢測1)入侵檢測系統(tǒng)通過掃描網(wǎng)絡(luò)數(shù)據(jù)流的特征字段或者探測系統(tǒng)的異常行為，來發(fā)現(xiàn)安全攻擊的存在。一旦發(fā)現(xiàn)攻擊可以根據(jù)預(yù)定的措施自動反應(yīng)，例如暫時封掉發(fā)起該掃描的IP地址，同時記錄下網(wǎng)絡(luò)攻擊的相關(guān)日志以進(jìn)行追查和溯源。2)安全審計收集審計跟蹤的信息，通過列舉被記錄的安全事件的類別，例如明顯違反或成功操作的完成等日志信息，能適應(yīng)各種不同的需要，同時對潛在的侵犯安全的攻擊行為起到威懾作用。3)安全掃描采用非破壞性的辦法來檢驗系統(tǒng)是否存在被攻擊導(dǎo)致崩潰的漏洞。網(wǎng)絡(luò)安全掃描技術(shù)與防火墻、安全監(jiān)控系統(tǒng)互相配合能夠為網(wǎng)絡(luò)提供很高的安全性。4.安全響應(yīng)安全產(chǎn)品的復(fù)雜性和多樣性導(dǎo)致很多時候安全產(chǎn)品本身并不能解決網(wǎng)絡(luò)中出現(xiàn)的所有涉及安全的問題。這就需要安全產(chǎn)品生產(chǎn)商定期提供網(wǎng)絡(luò)安全風(fēng)險分析和產(chǎn)品的特征庫的更新服務(wù)，發(fā)現(xiàn)異常并及時處理，以便發(fā)生攻擊事件時，在最短的時間內(nèi)提供技術(shù)支持和應(yīng)急預(yù)案。四、安全技術(shù)詳細(xì)設(shè)計目前生產(chǎn)業(yè)務(wù)管理系統(tǒng)主要包括3臺應(yīng)用服務(wù)器、2臺數(shù)據(jù)庫服務(wù)器、1臺防病毒服務(wù)器、3臺測試服務(wù)器和一些交換機、路由器、防火墻，入侵檢測、漏洞掃描等網(wǎng)絡(luò)安全設(shè)備，具備了信息系統(tǒng)的基本要素，終端用戶430個，分布在園區(qū)各車間內(nèi)，系統(tǒng)的邊界用防火墻區(qū)分。本系統(tǒng)主要承載本單位生產(chǎn)信息管理業(yè)務(wù)，是針對此業(yè)務(wù)的單一信息系統(tǒng)。生產(chǎn)業(yè)務(wù)管理系統(tǒng)采用C/S結(jié)構(gòu)設(shè)計，各客戶端進(jìn)行數(shù)據(jù)的采集和檢索，服務(wù)器端進(jìn)行數(shù)據(jù)的加工、存儲和傳輸?shù)?。系統(tǒng)整體安全架構(gòu)如下圖：安全防護(hù)解決方案生產(chǎn)業(yè)務(wù)管理系統(tǒng)整體分為5個區(qū)域，分別為核心交換區(qū)、安全管理區(qū)、服務(wù)器區(qū)、內(nèi)網(wǎng)區(qū)和終端區(qū)，各區(qū)域之間通過防火墻實現(xiàn)安全隔離與防護(hù)。1)核心交換區(qū)通過電信線路接入互聯(lián)網(wǎng)；2)終端區(qū)由交換機、防火墻組成。交換機負(fù)責(zé)網(wǎng)絡(luò)內(nèi)部的數(shù)據(jù)交換以及數(shù)據(jù)的快速轉(zhuǎn)發(fā)。防火墻負(fù)責(zé)專網(wǎng)出口互聯(lián)；3)安全管理區(qū)由防火墻、防毒墻、入侵防御、抗DDOS設(shè)備、流量控制、日志審計、運維審計設(shè)備組成。防火墻負(fù)責(zé)網(wǎng)絡(luò)出口訪問控制，防毒墻負(fù)責(zé)病毒的檢測與防御，抗DDOS設(shè)備負(fù)責(zé)對DDOS攻擊的防御，日志審計負(fù)責(zé)對網(wǎng)絡(luò)與安全設(shè)備的日志進(jìn)行存儲與分析、運維審計對網(wǎng)絡(luò)與安全設(shè)備進(jìn)行管理；4)服務(wù)器區(qū)由多臺服務(wù)器組成，為業(yè)務(wù)系統(tǒng)提供硬件支持。為了保障數(shù)據(jù)的安全，數(shù)據(jù)庫服務(wù)器部署在內(nèi)網(wǎng)區(qū)，通過網(wǎng)閘與應(yīng)用服務(wù)器交換數(shù)據(jù)。1、安全域劃分方案安全域建設(shè)是基于網(wǎng)絡(luò)和系統(tǒng)進(jìn)行安全建設(shè)的部署依據(jù)；安全域和域邊界防護(hù)使縱深防護(hù)能夠有效地實施；安全域邊界是災(zāi)難發(fā)生時的抑制點，防止影響的擴(kuò)散。根據(jù)之前對生產(chǎn)管理系統(tǒng)的分析，一般分為以下幾個功能區(qū)域，終端域：由所有辦公終端組成；服務(wù)器域：由生產(chǎn)管理系統(tǒng)的服務(wù)器，殺毒服務(wù)器和系統(tǒng)備份服務(wù)器等組成；安全管理域：由安全管理平臺的服務(wù)器和安全設(shè)備組成，實現(xiàn)對系統(tǒng)的管理。2、邊界安全方案安全域劃分的主要目的是保證域邊界的安全防護(hù)。在所有互聯(lián)網(wǎng)與服務(wù)器區(qū)之間配置防火墻進(jìn)行邊界隔離，將防火墻放置在安全域邊界處，可以有效地保護(hù)網(wǎng)絡(luò)。在互聯(lián)網(wǎng)的邊界部署防火墻，在終端域與服務(wù)器域的邊界部署防火墻，可以采用透明模式接入兩個安全域之間。防火墻采用透明模式的工作方式無須改變原有網(wǎng)絡(luò)結(jié)構(gòu)，對網(wǎng)絡(luò)性能和系統(tǒng)體系結(jié)構(gòu)影響較小，防火墻規(guī)則上只開放生產(chǎn)業(yè)務(wù)管理系統(tǒng)需要的網(wǎng)絡(luò)端口和地址。3、信息系統(tǒng)防病毒方案通過配置邊界防毒網(wǎng)關(guān)在互聯(lián)網(wǎng)入口對病毒、垃圾郵件和惡意代碼進(jìn)行控制，保證HTTP、FTP、SMTP等協(xié)議的安全，信息在進(jìn)入內(nèi)部網(wǎng)絡(luò)前由安全網(wǎng)關(guān)進(jìn)行查殺毒，并過濾來自互聯(lián)網(wǎng)的垃圾郵件。邊界防病毒網(wǎng)關(guān)部署在接入路由器與防火墻之間，也可部署在防火墻與內(nèi)部網(wǎng)絡(luò)之間。信息系統(tǒng)的終端和服務(wù)端需要部署網(wǎng)絡(luò)版防病毒系統(tǒng)。安全監(jiān)測解決方案安全監(jiān)測解決方案包括入侵檢測方案、漏洞掃描方案、安全審計方案三個方面：1、入侵檢測方案建議在網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)對入侵和濫用行為進(jìn)行檢測和審計。通過在網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)，可以提供有效的安全保障。可以檢測和發(fā)現(xiàn)針對系統(tǒng)的網(wǎng)絡(luò)攻擊行為，對這些攻擊行為可以采取記錄、報警和主動阻斷等動作，以便事后分析和行為追蹤。定義禁止訪問網(wǎng)站，限制內(nèi)部人員對不良網(wǎng)站的訪問?？梢蕴峁姶蟮木W(wǎng)絡(luò)行為審計能力，讓網(wǎng)絡(luò)安全管理員跟蹤用戶和應(yīng)用程序等對網(wǎng)絡(luò)的使用情況，幫助他們改進(jìn)網(wǎng)絡(luò)規(guī)劃。對入侵檢測系統(tǒng)的使用和使用人員的管理一定要有專門的制度。根據(jù)安全域的劃分，建設(shè)在核心交換機旁路部署入侵檢測系統(tǒng)，用以監(jiān)測來自互聯(lián)網(wǎng)的所有安全威脅，IDS的管理口需接入安全運維域的安全管理服務(wù)器，用來進(jìn)行IDS的日常管理和維護(hù)。2、漏洞掃描解決方案漏洞掃描可以動態(tài)地了解網(wǎng)絡(luò)設(shè)備、主機和應(yīng)用的安全弱點、通過修補這些安全弱點來盡量減少攻擊的可能性。它能實現(xiàn)對目標(biāo)網(wǎng)絡(luò)穩(wěn)定的周期性掃描，保證整體網(wǎng)絡(luò)防護(hù)；具有跨過路由器和防火墻進(jìn)行直接安全分析的能力，能對目標(biāo)網(wǎng)絡(luò)實現(xiàn)掃描，掃描對象可以是基于TCP/IP協(xié)議的網(wǎng)絡(luò)上的各種服務(wù)器或是主機，防火墻、路由器以及WEB站點和數(shù)據(jù)庫進(jìn)行掃描，它幫助系統(tǒng)管理員集中了解系統(tǒng)中存在的安全漏洞，并提供相應(yīng)的網(wǎng)絡(luò)安全漏洞解決方案。漏洞掃描系統(tǒng)采用硬件機架式無限IP的系統(tǒng)，部署在安全管理區(qū)，旁路接入核心交換機即可。3、安全審計設(shè)計方案網(wǎng)絡(luò)安全審計系統(tǒng)采用旁路偵聽技術(shù)，是主機審計的有力補充。網(wǎng)絡(luò)審計可以審計任何經(jīng)由特定網(wǎng)絡(luò)中間設(shè)備的主機的網(wǎng)絡(luò)信息，基于對網(wǎng)絡(luò)協(xié)議的分析與統(tǒng)計，從網(wǎng)絡(luò)層對整個網(wǎng)絡(luò)進(jìn)行審計與保護(hù)。安全管理解決方案在安全管理中主要從技術(shù)層面和策略層面兩個方面進(jìn)行，因為安全管理是一個復(fù)雜漸進(jìn)的過程，需要不斷地改進(jìn)和提高。信息安全管理平臺以計算機技術(shù)為基礎(chǔ)，結(jié)合企業(yè)的行政管理手段，以實現(xiàn)高效的和安全的應(yīng)用。由于信息系統(tǒng)的網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)、安全設(shè)備和用戶平臺等具有多樣性，因此對管理平臺或系統(tǒng)的要求也比較高，必須采用專業(yè)的網(wǎng)絡(luò)綜合管理系統(tǒng)，對網(wǎng)絡(luò)中的所有設(shè)備和系統(tǒng)平臺進(jìn)行統(tǒng)一集中管理，獲取所有設(shè)備的工作狀態(tài)和網(wǎng)絡(luò)負(fù)載狀態(tài)，同時可以看到網(wǎng)絡(luò)活動的日志信息，用它來對網(wǎng)絡(luò)狀態(tài)進(jìn)行分析，提供更有效的安全策略，網(wǎng)絡(luò)系統(tǒng)還能夠監(jiān)測客戶端系統(tǒng)狀態(tài)，接管客戶端進(jìn)行遠(yuǎn)程管理等。信息安全建設(shè)痛點和難點分析1、網(wǎng)絡(luò)安全方面，對網(wǎng)絡(luò)設(shè)備的安全審計和網(wǎng)絡(luò)設(shè)備的自身防護(hù)等。需要新增日志審計設(shè)備，把網(wǎng)絡(luò)安全設(shè)備的日志服務(wù)器配置為日志審計設(shè)備的IP地址，日志存儲時間要超過六個月以備查看。網(wǎng)絡(luò)設(shè)備的只能通過堡壘機登錄，不允許從其它終端或是服務(wù)器登錄網(wǎng)絡(luò)設(shè)備，網(wǎng)絡(luò)安全設(shè)備的登錄密碼要滿足復(fù)雜性要求并定期更換，堡壘機的管理只能通過網(wǎng)管主機進(jìn)行管理，加強相應(yīng)的運維制度建設(shè)。2、主機安全方面，操作系統(tǒng)長時間未更新補丁，部分服務(wù)器未安裝防病毒軟件。部分服務(wù)器系統(tǒng)因使用時間較長，廠商已不再為系統(tǒng)更新補丁，這樣的系統(tǒng)要及時升級到新版本的系統(tǒng)，系統(tǒng)補丁要定期及時更新。服務(wù)器要全部安裝殺毒軟件并設(shè)置為每天自動更新病毒庫。對于系統(tǒng)補丁和病毒庫的更新情況要做到定期巡檢，從根本上保障主機的安全。3、安全管理制度的完善和操作流程的規(guī)范化。信息系統(tǒng)的安全包括技術(shù)和管理兩個層面，兩個層面要互相支持互相補充，信息系統(tǒng)才能更安全，加強安全管理制度的完善，增強安全管理能力，保障安全管理制度的實施，操作流程制度化、標(biāo)準(zhǔn)化、規(guī)范化。安全管理制度的完善與操作流程規(guī)范化細(xì)節(jié)參考第七部分調(diào)查表。五、安全服務(wù)解決方案在整體信息安全體系的建設(shè)中，除了對具體的安全風(fēng)險和問題采取基于產(chǎn)品和技術(shù)的解決方案以外，還需要對信息安全的管理平臺進(jìn)行建設(shè)，以達(dá)到相應(yīng)的安全目標(biāo)。安全咨詢服務(wù)根據(jù)等級保護(hù)基本要求，企業(yè)需要在建立技術(shù)體系的同時，建立并完善安全管理體系。安全管理體系要求建立適合自身特點和管理運作方式的網(wǎng)絡(luò)安全管理職能部門，來負(fù)責(zé)協(xié)調(diào)、管理整個信息系統(tǒng)的安全。在對現(xiàn)有業(yè)務(wù)流程和管理制度做充分調(diào)研的基礎(chǔ)上，制定一套操作性強的安全策略體系，用以指導(dǎo)單位的網(wǎng)絡(luò)安全工作。包括制定網(wǎng)絡(luò)安全管理組織架構(gòu)，協(xié)助建立企業(yè)內(nèi)的網(wǎng)絡(luò)安全管理小組，并制定職責(zé)文檔；制定安全管理策略體系以及相關(guān)管理文檔；根據(jù)部門人員的角色進(jìn)行相應(yīng)的培訓(xùn)，提高相關(guān)人員的安全意識和安全技術(shù)水平。評估服務(wù)安全風(fēng)險評估包括風(fēng)險分析和評估流程，風(fēng)險分析的過程是對影響、威脅和脆弱性分析的過程，以資產(chǎn)為中心評估資產(chǎn)破壞后造成的影響、威脅的嚴(yán)重程度。評估流程包括確定評估范圍階段；資產(chǎn)的識別和估價階段；安全威脅評估階段；脆弱性評估階段；風(fēng)險的分析階段；風(fēng)險的管理階段；加固服務(wù)安全加固服務(wù)是根據(jù)安全評估的結(jié)果制定統(tǒng)一的安全策略，對網(wǎng)絡(luò)及應(yīng)用系統(tǒng)進(jìn)行管理加強、環(huán)境優(yōu)化增強、安全域規(guī)劃和系統(tǒng)加固等工作，通過安全加固及增強服務(wù)后，使整個網(wǎng)絡(luò)和應(yīng)用系統(tǒng)的安全狀況提升到一個較高的水平。使系統(tǒng)中不再存在CVE（CommonVulnerabilities&Exposures通用漏洞披露）標(biāo)準(zhǔn)的高風(fēng)險漏洞和中風(fēng)險漏洞，沒有修補的漏洞要記錄，已修補的漏洞不能影響業(yè)務(wù)系統(tǒng)的功能和性能。日常維護(hù)服務(wù)日常維護(hù)服務(wù)指定期的安全審計、對入侵檢測系統(tǒng)的日常監(jiān)控、網(wǎng)絡(luò)設(shè)備配置優(yōu)化、最新安全通告和補丁更新等內(nèi)容;通過保持更新和加強系統(tǒng)的安全水平，將應(yīng)用系統(tǒng)的安全水平維持在一個穩(wěn)定的狀態(tài);周期性的安全審計服務(wù)包括每季一次的安全技術(shù)評估和每月一次的安全檢查;對數(shù)據(jù)備份的日常巡檢，每年進(jìn)行至少一次數(shù)據(jù)恢復(fù)測試;定期進(jìn)行網(wǎng)絡(luò)安全應(yīng)急演練與滲透測試等工作內(nèi)容。六、方案總結(jié)通過對生產(chǎn)業(yè)務(wù)信息系統(tǒng)的整改，使信息系統(tǒng)達(dá)到了等保三級標(biāo)準(zhǔn)的要求，無論是網(wǎng)絡(luò)安全、主機安全、數(shù)據(jù)安全，還是安全管理制度的完善都較整改前上了一個新的臺階，通過對信息安全建設(shè)，加強了網(wǎng)絡(luò)設(shè)備的安全審計和網(wǎng)絡(luò)設(shè)備的自身防護(hù)；提升了主機安全性；降低了運維復(fù)雜度，提升了運維工作效率。為生產(chǎn)業(yè)務(wù)信息系統(tǒng)今后平穩(wěn)的運行打下了堅實的基礎(chǔ)，也為其它信息系統(tǒng)的安全鋪平了道路。按照相關(guān)國家標(biāo)準(zhǔn)的要求，符合等保三級的信息系統(tǒng)需要每年進(jìn)行一次測評，復(fù)測時如果信息系統(tǒng)沒有變更，相關(guān)測評過程會較第一次測評便捷一些。安全是一個循序漸進(jìn)的過程，隨著等保2.0標(biāo)準(zhǔn)的出臺，在防范APT攻擊和態(tài)勢感知方面還有一些工作要做。七、附件：調(diào)查表1、請?zhí)峁┬畔⑾到y(tǒng)的最新網(wǎng)絡(luò)結(jié)構(gòu)圖（拓?fù)鋱D），網(wǎng)絡(luò)結(jié)構(gòu)圖要求：1)應(yīng)該標(biāo)識網(wǎng)絡(luò)功能區(qū)域劃分等情況；2)應(yīng)該標(biāo)識網(wǎng)絡(luò)與外部的連接等情況；3)應(yīng)該標(biāo)識出網(wǎng)絡(luò)設(shè)備、服務(wù)器設(shè)備和主要終端設(shè)備及其名稱；4)應(yīng)該標(biāo)識出主要服務(wù)器設(shè)備和網(wǎng)絡(luò)設(shè)備的IP地址；5)應(yīng)該能夠?qū)φ站W(wǎng)絡(luò)結(jié)構(gòu)圖說明所有業(yè)務(wù)流程和系統(tǒng)組成；6)如果一張圖無法表示，可以將核心部分和接入部分分別劃出，或以多張圖表示。2、請根據(jù)信息系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)圖填寫各類調(diào)查表格。（以下表格中內(nèi)容均為示例）表1-1.

單位基本情況調(diào)查單位全稱簡稱單位情況簡介單位所屬類型□政府機關(guān)

□國家重要行業(yè)、重要領(lǐng)域或重要企事業(yè)單位

□一般企事業(yè)單位

□其它類型單位地址郵政編碼負(fù)責(zé)人姓名電話傳真電子郵件地址聯(lián)系人電話傳真電子郵件地址上級主管部門注：情況簡介欄，請?zhí)顚懪c被測評系統(tǒng)有關(guān)的機構(gòu)內(nèi)容。表1-2.

參與人員名單序號人員姓名所屬部門職務(wù)/職稱負(fù)責(zé)范圍聯(lián)系方法1表1-3.

物理環(huán)境情況序號物理環(huán)境名稱物理位置涉及信息系統(tǒng)1XX機房XX大廈X樓機房生產(chǎn)業(yè)務(wù)信息平臺注：物理環(huán)境包括主機房、輔機房、辦公環(huán)境等。表1-4.

信息系統(tǒng)基本情況序號信息系統(tǒng)名稱安全保護(hù)等級業(yè)務(wù)信息安全保護(hù)等級系統(tǒng)服務(wù)安全保護(hù)等級承載業(yè)務(wù)應(yīng)用1生產(chǎn)業(yè)務(wù)信息平臺三級三級三級生產(chǎn)業(yè)務(wù)信息平臺1-5.

網(wǎng)絡(luò)結(jié)構(gòu)（環(huán)境）情況調(diào)查序號網(wǎng)絡(luò)功能區(qū)域名稱主要功能和作用描述IP網(wǎng)段地址服務(wù)器數(shù)量終端數(shù)量與其連接的其它網(wǎng)絡(luò)區(qū)域網(wǎng)絡(luò)區(qū)域之間的邊界設(shè)備（互聯(lián)設(shè)備）重要程度備注1外網(wǎng)接入互聯(lián)網(wǎng)9430防火墻、隔離網(wǎng)閘非常重要注：重要程度填寫非常重要、重要、一般表1-6.

外聯(lián)（網(wǎng)絡(luò)邊界）情況調(diào)查序號外聯(lián)線路名稱(邊界名稱)所聯(lián)網(wǎng)絡(luò)區(qū)域外聯(lián)對象名稱接入線路種類傳輸速率（帶寬）線路接入設(shè)備承載主要業(yè)務(wù)應(yīng)用備注1電信外網(wǎng)專線100M防火墻上互聯(lián)網(wǎng)表1-7.

網(wǎng)絡(luò)設(shè)備情況調(diào)查序號網(wǎng)絡(luò)設(shè)備名稱型號物理位置所屬網(wǎng)絡(luò)區(qū)域IP地址/掩碼/網(wǎng)關(guān)系統(tǒng)軟件版本及補丁端口類型及數(shù)量主要用途是否熱備重要程度1核心交換機S9306C9外網(wǎng)核心網(wǎng)絡(luò)機柜12個光口，36個電口非常重要2服務(wù)器交換機S5328C8外網(wǎng)網(wǎng)絡(luò)設(shè)備機柜24個電口非常重要表1-8.

安全設(shè)備情況調(diào)查序號網(wǎng)絡(luò)安全設(shè)備名稱型號(軟件/硬件)物理位置所屬網(wǎng)絡(luò)區(qū)域IP地址/掩碼/網(wǎng)關(guān)系統(tǒng)軟件及運行平臺端口類型及數(shù)量主要用途是否熱備120M防火墻2100M防火墻3防火墻4入侵防御5上網(wǎng)行為管理6Web應(yīng)用防火墻7防毒墻8堡壘主機9日志審計10抗ddos攻擊11異常流量檢查12隔離網(wǎng)閘表1-9.

服務(wù)器設(shè)備情況調(diào)查序號服務(wù)器設(shè)備名稱物理位置所屬網(wǎng)絡(luò)區(qū)域IP地址/掩碼/網(wǎng)關(guān)操作系統(tǒng)版本/補丁安裝的數(shù)據(jù)庫系統(tǒng)承載的主要業(yè)務(wù)應(yīng)用安裝的應(yīng)用系統(tǒng)軟件名稱涉及的業(yè)務(wù)數(shù)據(jù)是否熱備重要程度注：1、重要程度填寫非常重要、重要、一般表1-10.

應(yīng)用系統(tǒng)情況調(diào)查序號業(yè)務(wù)（服務(wù)）名稱主要功能描述處理的業(yè)務(wù)數(shù)據(jù)用戶數(shù)量用戶分布范圍應(yīng)用系統(tǒng)軟件名稱開發(fā)商C/S或B/S模式是否24小時運行重要程度表1-11.

業(yè)務(wù)數(shù)據(jù)情況調(diào)查序號業(yè)務(wù)數(shù)據(jù)名稱涉及到的業(yè)務(wù)應(yīng)用數(shù)據(jù)總量及日增量存放所在的服務(wù)器名稱涉及存儲系統(tǒng)備份周期是否異地保存重要程度表1-12.

應(yīng)用系統(tǒng)軟件處理流程（多表）應(yīng)用系統(tǒng)軟件處理流程圖（應(yīng)用軟件名稱：）應(yīng)用系統(tǒng)軟件處理流程圖（應(yīng)用軟件名稱：）注：重要應(yīng)用系統(tǒng)軟件應(yīng)該描述處理流程圖，說明主要處理步驟、過程、流向、涉及設(shè)備和用戶。如本頁不夠，請續(xù)頁。表1-13.

業(yè)務(wù)數(shù)據(jù)流程（多表）數(shù)據(jù)流程圖（數(shù)據(jù)名稱：）數(shù)據(jù)流程圖（數(shù)據(jù)名稱：）注：重要數(shù)據(jù)應(yīng)該描述數(shù)據(jù)流程圖，從數(shù)據(jù)產(chǎn)生到傳輸經(jīng)過的主要設(shè)備，再到存儲設(shè)備等流程。如本頁不夠，請續(xù)頁。表1-14.管理文檔情況調(diào)查序號文檔要求相關(guān)文檔名稱備注1機構(gòu)總體安全方針和政策方面的管理制度2部門設(shè)置、崗位設(shè)置及工作職責(zé)定義方面的管理制度3授權(quán)審批、審批流程等方面的管理制度4安全審核和安全檢查方面的管理制度5管理制度、操作規(guī)程修訂、維護(hù)方面的管理制度6人員錄用、離崗、考核等方面的管理制度7人員安全教育和培訓(xùn)方面的管理制度8第三方人員訪問控制方面的管理制度9工程實施過程管理方面的管理制度10產(chǎn)品選型、采購方面的管理制度11軟件外包開發(fā)或自我開發(fā)方面的管理制度12測試、驗收方面的管理制度13機房安全管理方面的管理制度14辦公環(huán)境安全管理方面的管理制度15資產(chǎn)、設(shè)備、介質(zhì)安全管理方面的管理制度16信息分類、標(biāo)識、發(fā)布、使用方面的管理制度17配套設(shè)施、軟硬件維護(hù)方面的管理制度18網(wǎng)絡(luò)安全管理（網(wǎng)絡(luò)配置、帳號管理等）方面的管理制度19系統(tǒng)安全管理（系統(tǒng)配置、帳號管理等）方面的管理制度20系統(tǒng)監(jiān)控、風(fēng)險評估、漏洞掃描方面的管理制度21病毒防范方面的管理制度22系統(tǒng)變更控制方面的管理制度23密碼管理方面的管理制度24備份和恢復(fù)方面的管理制度25安全事件報告和處置方面的管理制度26應(yīng)急響應(yīng)方法、應(yīng)急響應(yīng)計劃等方面的文件27其它文檔注：請在相關(guān)文檔名稱欄填寫對應(yīng)的文檔名稱，如果相關(guān)內(nèi)容在多個文檔中涉及，填寫多個文檔名稱。記錄類文檔序號記錄類文檔要求備注1機房出入登記記錄（包括第三方人員）2機房基礎(chǔ)設(shè)施維護(hù)記錄3各類會議紀(jì)要或記錄（部門內(nèi)、部門間協(xié)調(diào)會、領(lǐng)導(dǎo)小組）4各類評審和修訂記錄（安全管理制度評審和修訂記錄、體系評審記錄等）5人員考核、審查、培訓(xùn)記錄（人員錄用、人員定期考核）、離崗手續(xù)6各項審批和批準(zhǔn)執(zhí)行記錄（來訪人員進(jìn)入機房審批、介質(zhì)/設(shè)備外帶審批、系統(tǒng)外聯(lián)審批等）7安全管理制度收發(fā)登記記錄8產(chǎn)品的選型測試結(jié)果記錄9系統(tǒng)驗收測試記錄、報告10介質(zhì)歸檔、查詢等的登記記錄11主機系統(tǒng)、網(wǎng)絡(luò)、安全設(shè)備等的操作日志和維護(hù)記錄12機房日常巡檢記錄13對主機、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件等的監(jiān)控記錄和分析報告14惡意代碼檢測、升級記錄和分析報告15備份過程記錄16變更方案評審記錄和變更過程記錄17安全事件處理過程記錄18應(yīng)急預(yù)案培訓(xùn)、演練、審查記錄19其它記錄文檔證據(jù)類文檔序號證據(jù)類文檔要求備注1資產(chǎn)清單2機構(gòu)安全管理人員崗位名單3外聯(lián)單位聯(lián)系列表4人員保密協(xié)議5關(guān)鍵崗位安全協(xié)議6候選產(chǎn)品名單7信息系統(tǒng)定級報告或定級建議書8系統(tǒng)備案材料9近期和遠(yuǎn)期安全建設(shè)工作計劃、總體建設(shè)規(guī)劃書10信息系統(tǒng)設(shè)計方案11系統(tǒng)建設(shè)項目工程實施方案12系統(tǒng)驗收測試方案13系統(tǒng)測試、驗收報告14系統(tǒng)交付清單15變更方案16變更申請書17信息系統(tǒng)定期安全檢查的檢查表和安全檢查報告18主要設(shè)備漏洞掃描報告19系統(tǒng)異常行為審計分析報告20機房安全設(shè)計和驗收方面的文檔21總體安全策略等配