公司信息系統(tǒng)安全保障體系規(guī)劃方案

XXXXXXXXXXXX 概 引 背 XXXX行業(yè)行業(yè)相關要 國家等級保護要 三個體系自身業(yè)務要 三個體系規(guī)劃目 安全技術(shù)和安全運維體系規(guī)劃目 安全管理體系規(guī)劃目 技術(shù)及運維體系規(guī)劃參考模型及標 參考模 參考標 管理體系規(guī)劃參考模型及標 國家信息安全標準、指 國際信息安全標 行業(yè)規(guī) 技術(shù)體系建設規(guī) 技術(shù)保障體系規(guī) 設計原 技術(shù)路 信息安全保障技術(shù)體系規(guī) 安全域劃分及網(wǎng)絡改 現(xiàn)有信息技術(shù)體系描 技術(shù)體系規(guī)劃主要內(nèi) 網(wǎng)絡安全域改造建設規(guī) 網(wǎng)絡安全設備建設規(guī) CA認證體系建 數(shù)據(jù)安全保 終端安全管 備份與恢 安全運營中心建 周期性風險評估及風險管 技術(shù)體系建設實施規(guī) 安全建設階 建設項目規(guī) 運維體系建設規(guī) 風險評估及安全加 風險評 安全加 信息安全運維體系建設規(guī) 機房安全規(guī) 資產(chǎn)和設備安 網(wǎng)絡和系統(tǒng)安全管 監(jiān)控管理和安全管理中 備份與恢 惡意代碼防 變更管 信息安全事件管 密碼管 運維體系建設實施規(guī) 安全建設階 建設項目規(guī) 管理體系建設規(guī) 體系建 建設思 規(guī)劃內(nèi) 信息安全管理體系現(xiàn) 現(xiàn) 問 管理體系建設規(guī) 信息安全最高方 風險管 組織與人員安 信息資產(chǎn)管 網(wǎng)絡安全管 桌面安全管 服務器管 第三方安全管 系統(tǒng)開發(fā)維護安全管 業(yè)務連續(xù)性管 項目安全建設管 物理環(huán)境安 管理體系建設規(guī) 項目規(guī) 總 XXXX公司（以下簡稱“XXXX公司工業(yè)”）信息安全風險評XXXX公司工業(yè)信息安全技術(shù)工作的總體規(guī)劃、目標XXXXXXXX行業(yè)總局一直以來十分重視信息安全管理工作，先后下發(fā)了涉及保密計算機運行、等級保護定級等多個文件，在2008年下發(fā)了147號文《XXXX圖1_1XXXX20088月下發(fā)了國煙辦綜[2008]358XXXX行業(yè)專賣局辦公室關于做好XXXX圖1_2XXXX行業(yè)政策的引導下，近年來信息系統(tǒng)建設日趨完善，尤工商協(xié)同營銷系統(tǒng)、LIMS系統(tǒng)、OA系統(tǒng)及生產(chǎn)系統(tǒng)（卷包中控系統(tǒng)、物流中PDCA原則。P2DR2模型，行業(yè)信息安全XXXX公司工業(yè)自身安全管理現(xiàn)狀進行全面了解XXXX公司工業(yè)信息安全保障體系建立的首要任務。XXXX公司工業(yè)與下屬單位的組織模式和特點，做XXXX公司工業(yè)信息化的推進，XXXX公司工業(yè)需要有一支擁有各種XXXX公司工業(yè)XXXX公司工業(yè)信息安全需求的專業(yè)服務團隊。XXXX公司工業(yè)信息安全保障體系的基本理念之一，信息安全風險管理的實現(xiàn)需要建立完善的流程，XXXX公司工業(yè)將建立針對信息安全風險的全準化后形成的一整套文件。XXXX公司工業(yè)已經(jīng)制定并發(fā)布執(zhí)行了一些信息安的改進空間。例如在信息安全管理制度的上，沒有依據(jù)《XXXX行業(yè)行業(yè)信息ISMS體系建設等標準和規(guī)范制定，從而使管理XXXX公司工業(yè)對XXXX周期的防御和恢復。PDR模型就是最早提出的體現(xiàn)這樣一種思想的安全模型。所謂PDR模型指的就是基于防護（Protection、檢測（Detection、響應P2DR2是策略（Policy、防護（Protection、檢測（Detection（Response 策略

圖1_2P2DR2防護檢測響應信息系統(tǒng)的安全是基于時間特性的，P2DR安全模型的特點就在于動態(tài)性和P2DRPt縮短。顯然防護時間越長系統(tǒng)越安全。檢測時間Dt：表示檢測系統(tǒng)發(fā)現(xiàn)系統(tǒng)的安全隱患和潛在攻擊檢測的時Dt。Rt：表示從檢測到系統(tǒng)漏洞或監(jiān)控到非法攻擊到系統(tǒng)啟動處反擊等內(nèi)容。而安全事件的事后處理（如恢復、總結(jié)等不納入事件響應的范疇之內(nèi)。Et隨著技術(shù)的進步，人們在P2DR模型以后又提出了APPDRR模型，即在P2DR模型中加入恢復（Recovery）手段。這樣一旦系統(tǒng)安全事故發(fā)生了，也能《信息保障技術(shù)框架v3.1 美國國家安全（ISO13335）國際標準化組織（國標審議稿）AS/NZS4360:1999ISO/IEC17799:2005/BS7799PartISO/IEC27001:2005/BS7799PartISO/IECGB17859-等級保護實施意見（公通字[2004]66號《計算機信息系統(tǒng)安全保護等級劃分準則》GB《XXXXGB/T20274—2006GB/T19715.1—2005信息技術(shù)—1部分：信息GB/T19715.2—2005信息技術(shù)—2部分：管理GB/T19716—2005信息技術(shù)—ISO/IEC27001:2005ISO/IEC13335—1:20041部分：ISO/IECTR15443—1:2005ISO/IECTR15443—2:2005ISO/IECWD15443—3ISO/IECPDTR19791:2004XXXX《XXXX（國煙辦綜〔2008〕147《XXXX行業(yè)行業(yè)計算機網(wǎng)絡和信息安全技術(shù)與管理規(guī)范》(國煙法[2003]17號《XXXX行業(yè)行業(yè)計算機網(wǎng)絡建設技術(shù)與管理規(guī)范》國煙辦綜[2006]312號)《XXXXCA（2008116號XXXX公司工業(yè)網(wǎng)絡安全系統(tǒng)具有先進性和可持續(xù)發(fā)展性。7*24小時不間斷可靠運行。XXXX公司工業(yè)風險評估結(jié)果，制定出各具特色、有較強針對性和可XXXX公司工業(yè)信息安全的規(guī)劃、建遵照《XXXX（國煙辦綜〔2008147XXXX公司工業(yè)網(wǎng)絡應用實際，XXXX公司工業(yè)網(wǎng)絡的信息安全防護措施XXXX公司工業(yè)業(yè)務承載網(wǎng)絡的核心層、接入（匯聚）層、接入局域利用虛擬專用網(wǎng)絡（MPLSVPN、IPSecVPN、SSLVPN、公鑰基礎設施/（PKI/PMI素，XXXX公司工業(yè)網(wǎng)絡劃分為計算域、支撐域、接入域、基礎設施域四種類ITIT要素包括但不僅限于：IT要素，因此可以針對安全域IT特征的信息資產(chǎn)集合在一起，因此在防護時可以ROI（投資回報率。圖2_1圖2_1XXXX公司工業(yè)公司的情況，安全域的劃分原則和劃分方法，域是本次安全域劃分的第一層結(jié)構(gòu)，劃分的原則是業(yè)務行為。XXXX公司工業(yè)公司安4《ISO13335信息系統(tǒng)管理指南》中將一個組織中可能的接入類型分為以下組織單獨控制的連接（內(nèi)部接入公共網(wǎng)絡的連接（如互聯(lián)網(wǎng)接入不同組織間的連接（可信的不同組織間的連接（不可信的組織內(nèi)的異地連接（如不同地理位置的分支結(jié)構(gòu)組織內(nèi)人員從外部接入（如出差時接入內(nèi)部網(wǎng)XXXXISOISO邊界互聯(lián)網(wǎng)接入（如Web和郵件服務器的外部接入，辦公網(wǎng)的外聯(lián)網(wǎng)接入（如各個部門間的接入等通過專網(wǎng)接入遠程接入（如移動辦公和遠程維護黑客攻擊（外部入侵惡意代碼（病毒蠕蟲越權(quán)（非授權(quán)接入訪問控制（如防火墻）惡意代碼防護（防病毒）終端管理（注入控制、補丁管理、資產(chǎn)管理等）3（避免被作為攻擊核心區(qū)的跳板3核心區(qū)用于存放級別非常高（資產(chǎn)級別大于等于4）圖2_3圖2_4網(wǎng)絡傳輸泄密（如網(wǎng)絡管理人員在網(wǎng)絡設備上竊聽業(yè)務數(shù)據(jù)非授權(quán)訪問和濫用（如業(yè)務操作人員越權(quán)操作其他業(yè)務系統(tǒng)內(nèi)部人員抵賴（如對誤操作進行抵賴等圖2_5XXXXXXXXC6509C2970/C2950等其它的上聯(lián)國家局、XXXX公司工業(yè)局、西倉等專線鏈路也直接接入到核心交換機C6509上，除國家局配置有防火墻外，其它連接均未經(jīng)過任何匯聚或訪問控制設備。核心交換機C6509同時兼具上述多條專線接入設備的任務，網(wǎng)絡邏公司大多數(shù)內(nèi)網(wǎng)服務器系統(tǒng)分布在/24網(wǎng)段，沒有進一步的XXXX行業(yè)；2、省商業(yè)公司鏈路；3、同城的西倉庫接入；4、XXX單位接入。XXXCisco3845上，兩端均未部署防火墻實施訪問控制。XXX單位用戶可以任意訪問到總部網(wǎng)絡，任意 在互聯(lián)網(wǎng)出口部署了東軟的NetEyesFW4201防火墻兩臺，同時設置訪問規(guī)則對Web服務器和內(nèi)網(wǎng)用戶對互聯(lián)網(wǎng)的訪問進行網(wǎng)絡 在核心交換機上部署了東軟的NetEyesIDS2200入侵檢測系統(tǒng)，對3 在郵件系統(tǒng)部署了防垃圾郵件系統(tǒng)，可對垃圾郵件進行過濾4 內(nèi)網(wǎng)部署了趨勢的網(wǎng)絡防病毒系統(tǒng) XXXXXX當前網(wǎng)絡骨干區(qū)域，是以S5516為單核心設備連接上聯(lián)C2601路由器至XXXXS3026接入交換機連接終端。網(wǎng)絡骨干設備性能較差，VLAN與辦公網(wǎng)其他主機劃分，并未采取其它防護措施的隔離，非常XXXXXXXX公司工業(yè)解決建議方案同時解決。 互聯(lián)網(wǎng)訪問通過專線到達XXXX公司工業(yè)后訪問因此防護技術(shù)手段與XXXX公司工業(yè)相同；2 內(nèi)網(wǎng)部署了趨勢的網(wǎng)絡防病毒系統(tǒng) XXXX1 新增管理支撐域，作為整個網(wǎng)絡的設備和系統(tǒng)管理中心2 將原有的服務器使用VLAN方式劃分為核心服務域和一般服務 將XXX單位和西倉連接線路由原來的連接核心C6509改為連XXX3ADSL線路作為應急通訊VPNXXXX公司工業(yè)網(wǎng)絡進行通訊；41-2臺冷備設備；5XXXX公司工業(yè)已經(jīng)部署的網(wǎng)絡安全設備的前提下，又結(jié)后，XXXX公司工業(yè)所有安全設備防護功能的總和在技術(shù)層面上將能夠滿足防護和應對目前已知安全威脅。同時滿足《XXXX行業(yè)行業(yè)信息安全保障體系建IPS抗DoSDoS攻擊行為。P2PP2P技術(shù)出現(xiàn)之后，此問題更加嚴重和突出。XXXXP2P泛Emule等)，消耗了網(wǎng)絡中的大量帶寬，隨之而來的是，由網(wǎng)絡鏈路擁塞引發(fā)的P2P的應用加以控制，例如提供最大帶寬限制、保證帶寬、帶P2P軟件或P2PP2P流量的目標，將寶貴的、有限的QoS。服務XXXXWebMail系統(tǒng)，XXXX公司工業(yè)安全域SOX法案的合規(guī)性要求；而銀行業(yè)則XXXX公司工業(yè)面也面臨著合規(guī)性的要求。一是等級保護的要求；二是行147號文件中，明確要求部署網(wǎng)絡審計設備。（例DA帳號的口令，因而也承擔著很高的風險（誤操作或者是個別人員的惡意破壞。由于目標系統(tǒng)不能區(qū)別不同人員使用同一個帳號進行維護操作，所實現(xiàn)獨立審計與三權(quán)分立，完善IT從內(nèi)控的角度來看，IT系統(tǒng)的使用權(quán)、管理權(quán)與監(jiān)督權(quán)必須三權(quán)分立。網(wǎng)IT內(nèi)控機制。windows操作系統(tǒng)下NTP服務器，此處不再給出具體方案。CACA認證系統(tǒng)作為即將開始的項目。系建設方案的通知》(國煙辦綜〔2008〕116號)文件要求，結(jié)合自身實際情況，CA按照《XXXXCA認證體系建設方案》規(guī)范，XXXX公司工業(yè)行CA、RA、KMC系統(tǒng)；數(shù)字證書應用支撐服務平臺，主要建設內(nèi)容包括：簽名服務器、SSL安全代理服務器、身份認證系統(tǒng)、時間戳服務器；數(shù)字證書綜CA1、CA2、CA3、遠程VPN由于營銷人員等分布全國各地，需要遠程訪問公司服務器。CA認證系統(tǒng)和VPN遠程訪問控制相結(jié)合，更能保障身份唯一性，并大幅提高互聯(lián)網(wǎng)訪問的安2#2#1#ABBXXXX公司工業(yè)用戶角色不同，初辦公筆記本電腦（出差PC（員工在家辦公XXXX公司工業(yè)現(xiàn)已經(jīng)部署了一套綜合的終端安全管理系統(tǒng)，實現(xiàn)了對網(wǎng)XXXX公司工業(yè)還沒與建立起行之有效的備份與恢復機制。在網(wǎng)絡層，XXXX行業(yè)技術(shù)體系要求中需要建立通信線路冗VPN線路應急。XXXX公司工業(yè)還未建立安全運行中心。建立安全運營管理中心，使XXXX公司工業(yè)的網(wǎng)絡安全管理機構(gòu)能及時準確地獲知整個網(wǎng)絡安全體系的XXXXXXXX公司工業(yè)能夠XXXX公司工業(yè)每年定期請安全顧問進行安全風險評估。通XXXX公司的整個信息系統(tǒng)。安全風險評估服務包括但XXXX公司工業(yè)了解自身網(wǎng)絡安全現(xiàn)狀，并根據(jù)報告和建議進行投資預XXXX公司工業(yè)信息安全風險管理的重要組P2DR2安全模型的重要機制和組成部分。建XXXX公司工業(yè)缺乏XXXX公司工業(yè)在三到五年內(nèi)，聘請一家較有經(jīng)驗的網(wǎng)絡安XXXX公司工業(yè)提供一次網(wǎng)絡安全的風險評估服務。XXXX公司工業(yè)的具體情況，以及未來的業(yè)務和系統(tǒng)發(fā)展要求，通過6個：CASOC2個：維修和銷毀的介質(zhì)在“信息安全保密管理規(guī)定”XXXX“信息安全保密管理規(guī)定”中已經(jīng)有明確的規(guī)定，指定了專人對網(wǎng)絡進行管理，另外部署了“IT運維管理系統(tǒng)”負責運行日志、XXXXXXXX公司工業(yè)現(xiàn)有的外部鏈接主要為國家局的連接；網(wǎng)絡管理員通過VPNWeb方式訪問營銷系統(tǒng)；以上網(wǎng)XXXX公司工業(yè)還沒有專門的網(wǎng)絡安全管理制度，對網(wǎng)絡安全配置、目前僅有通過內(nèi)網(wǎng)管理系統(tǒng)對用戶訪問互聯(lián)網(wǎng)的行為進行審計的日志單獨日志保存，很難為安全事件調(diào)查提供支持；XXXX公司工業(yè)信息系統(tǒng)管理對日志的備份、授權(quán)訪問、處理、保留IT運維管理系統(tǒng)，并生成工單及時XXXX公司工業(yè)的身NTPNTP服務器進行時間校驗目前僅通過系統(tǒng)自身和管理員巡查的方式對于帳戶安全管理的執(zhí)行情況進情況進行相關處理。IT運維管理系統(tǒng)可部分安全管理系統(tǒng)的訪問授權(quán)、操作記錄、日IT運維管理系統(tǒng)可以對過程文檔進行有效管理，并確保文檔的ITIT運維管理中心進行規(guī)范處（如增量備份或全備份等備份頻度（如每日或每周等、存儲介質(zhì)、保存期、放置場所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運輸?shù)姆椒ǖ冗M行詳細規(guī)定；對造成系統(tǒng)中斷和造成信息泄密的安全事件應采用不同的處理程序和報告程序；對系統(tǒng)相關的人員進行培訓使之了解如何及何時使用應急預案中的控制手段及恢復策略，對應急預案的培訓至少每年舉辦一次；現(xiàn)未制定明確的計劃要求應急預案進行定期審查和根據(jù)實際情況更新的內(nèi)容，并按照執(zhí)行。CAXXXXCACA建設內(nèi)容、相關要求和自身實際情況，制定專項的密碼管理條款或XXXX公司工業(yè)的具體情況，以及未來的業(yè)務和系統(tǒng)發(fā)展要求，通過6個：完成安全評估、安全建設、CA2個：XXXX公司工業(yè)的業(yè)務戰(zhàn)略、目體規(guī)定公司經(jīng)營的，例如，XXXX公司工業(yè)必須遵循國家等級保護的規(guī)定，同XXXX行業(yè)局的相關規(guī)定。XXXX公司工業(yè)可能XXXX公司工業(yè)在信息系統(tǒng)建設過程中意識到信息安全的重要性，在安全ERPMESOA（輔助《01《02《03《04《05ftp《06《07《09《10OA《11生產(chǎn)執(zhí)行系統(tǒng)（MES）《12資源計劃系統(tǒng)（ERP）《13《14《15《16《17XXXX公司工業(yè)信息安全XXXX2左右，即建立安全理 建設安全文 堅持以人為 認識安全效XXXX公司工業(yè)信息安全工作的必要條件。XXXXXXXX公司工業(yè)信息系統(tǒng)的安全負有領導責任。組織結(jié)構(gòu)如下：部門部門1部門2XXXXXXXXXXXX公司工業(yè)在管理員設置以及人員方面較好的滿足了信息安全職ITITITITITIT應建立長期有效的信息安全培訓機制，對員工進行相關的安全培訓,XXXX公司工業(yè)有價值的事物，如計算XXXXXXXX公司工業(yè)信息安全管理的基礎，這樣才（是指涉及國家秘密XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX公司工業(yè)對外政策信息系統(tǒng)供應商服務協(xié)議信息資產(chǎn)系統(tǒng)初始備份（不包括任何業(yè)務和辦公數(shù)據(jù)1SLAServiceLeaseAgree（服務租賃協(xié)議系統(tǒng)設計方案（包括系統(tǒng)升級系統(tǒng)實施方案（包括系統(tǒng)升級系統(tǒng)安裝配置細則（軟件、硬件和網(wǎng)絡等XXXXXXXX4

有關項目負責人員需要向XXXX公司工業(yè)計算機安問權(quán)限設為“只讀”

門的認證許可并經(jīng)過XXXX公司工業(yè)計算機安全領所有電子通訊系統(tǒng)必須設有的身份驗證（證或設備身份驗證）對所有操作（讀、寫、刪除等）XXXX公司工業(yè)計算機安全領導小組一致認可后方可所有電子通訊系統(tǒng)必須設有的身份驗證（證或設備身份驗證）對所有操作（讀、寫、刪除等）安全領導小組應當定期/不定期組織對各個部門的信息資產(chǎn)的安全狀態(tài)進行審計，對違反管理規(guī)定的情況要通報批評；XXXXXXXX公