精华内容
下载资源
问答
  • 信息安全等级保护 实施方案

    千次阅读 2019-06-13 11:32:35
    信息安全等级保护 实施方案1.等保体系技术部分建设2. 安全管理制度体系建设3.人员安全管理建设4.整合多种安全技术手段为安全管理提供支撑和依据总结 实施方案) 1.等保体系技术部分建设 安全管理中心建设 在进行...


    实施方案)

    1.等保体系技术部分建设

    • 安全管理中心建设

      在进行安全系统建设时,应当首先建设管理中心,从安全管理的高度为
      后续的安全建设打下基础。必须要从系统管理、安全管理、审计管理、事件管理、
      风险管理、安全工作管理等方面进行统一考虑,特别要实现集中身份管理、集中
      认证授权、集中操作审计。

      1. 部署安全管理平台和策略服务器对计算环境安全支撑平台实施统一的安
        全管理,实现包括主客体标记、用户授权、策略维护和更新在内的安全
        管理职能;
      2. 部署系统管理平台和 CA 系统,对整个系统的证书和密钥实施统一管理,
        对用户身份和软硬件资源配置实施统一控制和管理;
      3. 部署审计管理平台,接收部中心数据交换区和各省区数据交换区审计日
        志,为审计信息的存储、分析和处理提供平台,作为管理员实施事件追
        踪、责任认定以及实施应急响应的依据。
    • 计算环境安全建设

      • (a ) 用户身份鉴别

        在每一个用户登录到维护终端时,采用受安全管理中心控制的口令、指纹、令牌、数字证书的组合机制进行用户身份鉴别,并对鉴别数据进行保密和

      • (b )强制访问控制

        数据交换服务器操作系统层的安全加固系统对服务器资源的访问行为实施
          严格的访问控制,包括对于用户访问行为的控制和进程访问权限的控制,有效

      • c ) 系统安全审计

        服务器安全加固软件及设备的审计模块记录系统的相关安全事件。审计记录
        包括安全事件的主体、客体、时间、类型和结果等内容。审计管理平台提供审计
        记录查询、分类、分析和存储保护,对特定安全事件进行报警,同时终端安全保
        护系统(服务器版)能够确保审计记录不被破坏或非授权访问。

      • (d ) 用户数据完整性保护

        以密码技术和机制为基础,终端安全保护系统(服务器版)的完整性校验机
        制和防篡改机制保护数据交换服务器重要资源不会被篡改,且在其受到破坏时能
        对重要数据进行恢复。终端安全保护系统(服务器版)的访问控制机制保证用户
        重要数据不会被非法访问和篡改。

      • (e )用户数据机密性保护

        终端安全保护系统(服务器版)的访控机制以及透明加解密机制将对服务
        器存储的敏感数据机密性实施有效保护,访问控制机制能够防止非授权用户读取
        敏感信息,透明加解密机制对硬盘存储的敏感数据实施加密存储保护,即使非法
        人员窃取硬盘设备,在没有用户合法密钥的前提下也无法解密敏感信息。

      • (f ) 客体安全重用

        终端安全保护系统(服务器版)对用户使用的客体资源实施针对性保护,
        在这些客体资源重新分配前,对其原使用者的信息进行清除,以确保信息不被泄
        露,实现客体的安全重用。

      • (g ) 程序可执行保护

        终端安全保护系统(服务器版)可构建从操作系统到上层应用的信任链,
        其中采用可信计算等技术,实现系统运行过程中可执行程序的完整性检验,阻止
        非授权程序的启动和执行,同时防范重要执行程序被篡改,对病毒、木马、蠕虫
        等恶意代码具备自身免疫能力。
        通过安装终端安全保护系统软件,可以在内核层对操作系统进行可
        信改造和安全增强。终端安全保护系统在原操作系统的基础上,强化了
        其身份鉴别、数据保密性保护、系统完整性保护以及行为审计机制,增
        加了强制访问控制、边界保护机制,避免安全机制因操作系统漏洞而被
        旁路,为全面安防打下基础。

    2. 安全管理制度体系建设

    • 需制定安全管理制度

      等级保护对信息系统的管理制度体系提出了新的要求,现有的管理制度体系
      已经不能够完全满足,因此,需要我们应结合《信息系统安全等级保护基本要求》
      中的相关要求,对现有的管理制度进行修改和完善,并添加新的管理制度。

    • 管理制度的制定与发布
      • 管理制度的编制与制定:

        管理制度应该由信息安全管理部(处)指定部门或人员,根据有关法规、政
        策、标准的要求,结合外汇管理局信息系统的实际情况进行编制和制定;

      • 管理制度的评审

        原有管理制度的修改或新制定的管理制度,应组织有关人员进行充分论证和
        审定,评审通过后,再根据新编制度的级别送信息安全管理委员会或信息安
        全管理部(处)进行审批。

      • 管理制度的发布:

        原有管理制度的修改或新制定的管理制度,通过信息安全管理委员会或信息
        安全管理部(处)审批后,方可正式发布、执行。管理制度应注明发布范围、
        有效时限等,通过正式、有效的方式进行发布,对收发文进行登记,并指定
        有关部门对制度的执行进行监督和审查。

      • 管理制度的修订:

        信息安全管理部(处)应定期组织相关部门和相关人员对安全管理制度体系
        的合理性和适用性进行审定;应定期或不定期对安全管理制度进行检查和审
        定,对存在不足或需要改进的安全管理制度进行修订。

      • 管理制度的管理:

        管理制度应该由信息安全管理部(处)指定部门或人员进行管理与解释;所
        有制度文本应具有统一的格式,并进行版本控制。

    3.人员安全管理建设

    • 人员录用

      严格规范人员录用过程,对被录用人的身份、背景、专业资格和资质等进行
      审查,对其所具有的技术技能进行考核;
      所有录用人员都应该根据其所接触的信息敏感级别签订相应的保密协议;
      应签署保密协议;
      关键性岗位人员必须从内部人员中选拔,并签订相应的安全协议;

    • 人员离岗

      应严格规范人员离岗过程,应及时终止和收回离岗员工的所有访问权限;
      应将离岗人员身份证件、钥匙、徽章等以及机构提供的软硬件设备及时收回;
      应办理严格的调离手续,关键岗位人员离岗须承诺调离后的保密义务后方可
      离开;

    • 安全培训与考核

      信息安全管理部(处)应制定《信息系统安全意识与技能培训制度》,针对不
      同的岗位制定不同的培训计划,对各类人员的安全意识、安全基础知识、岗
      位技能、岗位操作规程、安全技术等进行培训,并将培训的情况和结果进行
      记录并归档保存;
      信息安全管理部(处)应制定《信息系统安全意识与技能考核制度》,定期对
      各个岗位的人员进行安全意识与技能进行考核,对关键性岗位人员的考核应
      该更加的全面与严格,并将考核的情况和结果进行记录并归档保存;

    • 外部人员访问管理

      信息安全管理部(处)应制定《外部人员访问管理规定》,对外部人员的访问
      行为进行规定和约束;外部人员在访问受控区域前必须先提出书面申请,批
      准后方可进入,且访问过程必须由专人全程陪同;访问情况应登记备案;

    4.整合多种安全技术手段为安全管理提供支撑和依据

    • 主动防御技术手段

      硬件网络是信息系统运行的介质平台,整合多种安全技术手段,对信息系统
      可能存在的安全隐患与漏洞进行封堵。合理部署入侵检测、漏洞扫描、防火墙、
      终端安全保护系统(服务器版和普通版)、网站防护系统、抗拒绝服务系统、身
      入侵检测、漏洞扫描、防火墙、
      终端安全保护系统(服务器版和普通版)、网站防护系统、抗拒绝服务系统、身
      份认证网关等安全加固产品,构建信息系统的安全防御体系,将安全威胁屏蔽在
      大门之外。

    • 安全事件处理技术手段

      对信息系统中存在的安全风险进行充分的评估,整合多种安全技术手段,为
      所有可预见的安全事件建立应对机制。通过安全事件侦测与封堵、自动恢复机制、
      设备的冗余设计、数据的备份
      安全事件侦测与封堵、自动恢复机制、
      设备的冗余设计、数据的备份等技术手段,构建信息系统的应急机制,保证在安
      全事件发生时能够及时的恢复正常状态、阻止事态扩大、保证系统可用性、保证
      信息数据的安全性等。

    • 事后究责技术手段

      建立完善的审计与监督机制,整合多种安全技术手段,对信息系统中所有的
      安全行为进行记录和侦测。通过 安全审计系统、安全设备日志等设备或手段,对
      信息系统中的所有安全行为进行定位,并使之与安全行为主体身份相关联,使所
      有的安全行为均有记录且抗抵赖,作为事后究责的重要依据。

    • 技术手段的加强与完善

      信息技术发展日新月异,不断有新型的攻击、破坏手段出现,所以,信息系
      统的安全体系也应该与时俱进。对曾经发生的安全事件进行总结,对新出现的安
      全攻击、破坏行为采取相应的技术手段进行防范
      曾经发生的安全事件进行总结,对新出现的安
      全攻击、破坏行为采取相应的技术手段进行防范,不断提高信息系统的安防能力,
      使信息系统具有真正意义的安全性。

    总结

    • 信息系统的安全管理是一个动态的管理过程,随着观念、技术、信息化程度
      的发展,安全管理的指导思想也应该要与时俱进的动态前进,要根据阶段性的信
      息安全目标不断的对安全管理体系加以校验和调整,保证管理体系始终适应和满
      足实际情况的需求,只要做到这样,才能够建设健康的、合理的、有效的外汇管
      理局信息安全管理体系。
    展开全文
  • 需要网络安全制度汇编请下载网络安全等级保护-信息安全管理制度汇编参考下载,等级保护测评公司,网络安全等级保护测评,等级保护测评机构,等级保护机构 需要加强等网络、信息安全级保护定级备案,网络安全测评及...

    需要网络安全制度汇编请下载 网络安全等级保护-信息安全管理制度汇编参考下载 ,等级保护测评公司,网络安全等级保护测评,等级保护测评机构,等级保护机构

       需要加强等网络、信息安全级保护定级备案,网络安全测评及网络安全整改工作。

       链接:https://pan.baidu.com/s/1Z5n_1S4hHUFfuuci2yIpnw 提取码:fwfi 
     

    • 机房管理制度

    为规范机房内部管理,确保系统安全可靠运行,特制定本制度。

    一、机房内部实行区域安全责任制,有关责任人对自己相应责任区负责。区域划分和相应责任人另行作出具体规定;

    二、工作人员进入机房实行权限管理制度,被授权人员按照权限刷卡进入相应区域;

    三、参观考察或者监测维修等非工作人员进入机房需经批准并登记,其在机房内的一切活动必须得到允许并接受监督;

    四、严禁将易燃易爆、强腐蚀、强磁性物品带入机房,未经许可不得将手机等移动通讯设备、摄影摄像设备和与工作无关的移动存储设备带入机房;

    五、未经允许严禁参观、拍照、录音、录像,禁止在机房内吸烟;

    六、进入机房必须戴鞋套或更换机房专用拖鞋;

    七、机房内物品摆放要整齐有序,机器设备要清洁干净,保持良好的卫生环境;严禁在机房内会客接待、大声喧哗,保持安静的工作环境;

    八、相关责任人要定时检查供电配电系统、空调通风系统、视频监控系统、门禁控制系统和消防安全系统等,确保各配套系统安全正常运转;

    九、严禁用机房内的计算机运行与工作无关的软件,以防计算机病毒感染;

    十、严禁随意拆卸设备、私自接线和开关电源等操作;

    十一、定时查看机房温度、湿度,保持其符合规定范围。

     

    • 介质管理制度

    一、本规定所称介质包括:硬盘、软盘、光盘、磁带、数字证书介质(USB Key/IC卡)、系统密钥介质等,分涉密和非涉密两种;

    二、非涉密介质的使用管理;

    1、非涉密介质包括通用产品如服务器驱动、防病毒软件系统光盘/软盘等;

    2、非涉密介质,实行谁使用管理的原则。

    三、涉密介质的使用管理;

    1、涉密介质管理遵循“统一购置、统一标识、统一备案、跟踪管理”的原则;

    2、实行专人管理。收发应履行清点、登记、编号、签收等手续,严格登记交接手续。要按类编号,注明涉密标识,并定期进行检查;

    3、涉密介质必须存放在安全场所的保密设备里;

    4、涉密介质严禁在与互联网连接的计算机和个人计算机上使用;

    5、各类涉密介质未经批准严禁外出使用,更不得外借使用。特殊情况携带涉密介质外出使用时,须履行审批手续;

    6、要根据介质的目录清单对介质的使用现状进行定期检查,检查项目包括数据的完整性和介质及数据的可用性检查。

    四、介质的销毁。

    1、与业务系统相关的涉密介质损坏后不得自行销毁或丢弃,需按照普通密码使用管理规定进行办理;

    2、非涉密介质的销毁,经单位领导批准后统一处理。

    • 软件管理制度

    一、软件管理的范围包括对操作系统、应用软件、数据库、安全软件、工具软件的采购、安装、使用、更新、维护、防病毒的管理;

    二、本中心所使用的操作系统、应用软件、数据库、安全软件、工具软件必须是正式版本,严禁使用测试版和盗版软件;

    三、中心重要系统出现故障或需要重装主要的应用软件,必须经中心领导批准才能进行安装;

    四、所有的涉密软件原件(盘)应严格登记,并由专人保管;

    五、软件的销毁应按有关的规定执行;

    六、软件的防病毒管理

    1、必须安装经相关部门认可的防、杀病毒软件产品;

    2、定期组织防病毒系统的病毒库升级及杀毒工作;

    3、不得使用未经批准和检测的外来软件或磁盘、光盘,不允许在计算机上玩游戏;

    4、发现病毒后立即使用防病毒工具进行检测和灭毒,如不能完全消灭病毒时,立即上报并暂停工作;

    5、对于染毒次数、杀毒后果进行详细记录,不得隐瞒不报。

    • 设备管理制度

    一、设备包括:计算机及配套设备、打印机、传真机、复印机、照相机、录像机等;

    二、设备管理实行责任到人制度,对所有设备进行区分,分别指定责任人;

    三、所有设备必须建立档案,记录设备的生产厂家、购买地点、用途、价格、型号、维修记录和责任人等信息;

    四、设备的使用说明、维修、技术资料、培训资料以及相关的书籍图纸等要分类保管;

    五、设备的转让、借出、报废、销毁,须报经机要局批准,并履行相应手续;

    六、严格按操作规程使用设备,保持设备清洁,定期维护保养,确保设备正常运转;

    七、根据工作需要,需购置新设备的,写出书面申请报机要局批准,内容包括申请理由、用途、预算等;

    八、拟购设备必须是是国家认可的产品;

    九、所购设备要及时备案。

    • 环境管理制度

    一、周边环境安全管理

    1、通过电子视频和警报系统对机房门口进行监控;

    2、对机房配套设施应经常进行检查,及时维修,保证设备正常使用。

    二、涉密场所安全保密管理

    1、涉密机房。

    1)涉密信息系统按有关规定,确定保密要害部门、部位,实施安全保密管理;

    2)机房建设应满足GB 50174、GB/T 2887-2000的要求,并在防火、防水、防震、防雷、防静电、布线、电力等方面应符合GB 9361-1988中A类机房建设要求;

    3)对于机房涉密程度较高的区域,进入时实行指纹或刷卡验证方式。离开机房应关好门窗,节假日打开报警装置;

    4)机房安全实行责任制,分区域专人管理;

    5)机房核心区域内采取相应防护措施,设置监控录像并对机房进出人员情况进行监控,自动记录日志;

    6)接待参观考察或本系统的人员进入机房,应有相关人员陪同,做好登记;设备检修、调试等外来人员,应先登记报领导同意后,方可进入;

    7)禁止携带与工作无关的具有录音、信息存储以及无线通信等功能的设备进入机房核心区域;

    8)工作人员应对机房内设备所发生的故障、处理过程和结果等做好详细登记;

    9)各类软件系统的维护、增删、配置的更改,各类硬件设备的添加、更换必需经严格审批后方可进行,并进行详细登记和记录;

    10)机房内应保持安静的工作环境,不大声喧哗。禁止会客、吸烟、喝水,未经允许不得拍照、摄像;

    11)工作人员临时离开机房,应及时关门;下班或节假日期间,应将涉密介质及相关保密设备应放入保密柜。

    2、无线、多媒体产品使用规定。

    1)禁止使用具有无线互联功能的信息设备处理涉密信息,凡用于处理涉密信息的信息设备应拆除具有无线联网功能的硬件模块;

    2)用于处理涉密信息的信息设备应禁止使用无线键盘、无线鼠标及其它无线互联的外围设备;

    3)在涉密场所内谈论涉及国家秘密事项时,应对具有音频输入功能并与互联网连接的信息设备采取关机断电措施;

    4)手机等无线通信和定位终端设备的使用应符合“中办发(2005)29号”文件的要求;

    5)手机存放屏蔽柜,严禁带入机房。

    3、安全巡查。

    1)建立日常、节假日值班制度,每天检查重要部位的安全状况,离岗时要进行安全和用电检查;

    2)做好工作区域内的防火、防盗等工作,发现异常情况及时处理。

    三、保障设施

    1、定期检测检修。为了密钥管理系统运行的稳定正常,定期对配套设施进行检测与检修;

    2、应不定期对机房内设置的消防器材、监控设备进行检查,以保证其有效性。

    • 培训考核制度

    培养和配备过硬的人才队伍,是成功实现技术转移、保证系统长期稳定和良好运转的重要保障。为此,对所有相关使用、管理人员进行全面、细致的培训是必不可缺的。

    一、培训内容和目标。

    1、培训内容:主要包括但不限于网络安全基础知识、信息系统的基本原理和基本的操作维护常识;中心网站及信息管理系统的安装、使用、故障处理、维护等内容。

    2、培训目标:全面了解网络信息安全基础知识、信息系统的操作使用;能够掌握网站及信息系统相关设备的安装、调试与基本维护技能;能独立对安全设备进行管理、运行、故障处理及日常测试维护等工作,保障系统正常运行。

    二、培训方式。根据培训对象和培训内容的实际情况采用现场培训或集中培训的方式进行。

    三、培训时间和培训地点。时间根据培训需要另行确定;地点主要应安排在系统的研发现场、安装和使用现场。

    四、培训考核。培训完成后,对受训人员进行上机操作和笔试考核,所有受训人员考核必须全部过关。

    • 机房进出管理制度

    中心机房工作人员和参观访问者要严格遵守本规章制度。控制范围包括机房公共区、操作区、管理区、服务区和核心区,其中操作区、管理区、服务区和核心区称为敏感区域,而服务区和核心区又称为特别敏感区域。

    一、所有进出贵阳高**厅政务中心机房的人员都必须佩带有关证件来标示自己的身份,包括工作人员需要佩带职员工作证和外来访问者需要佩带访问者证件,中心管理员应及时制止并记录非法授权访问;

    二、访问者进入贵阳高**厅政务中心机房时要领取访问时间表格,访问完成之后要由接待者(必须是中心工作人员)签名本次访问时间的表格,并由访问者出门时交给办公室;

    三、参观访问人员进出敏感区域必须经中心领导的同意,同时必须要有贵阳高**厅政务中心的相关工作人员陪同,未经同意,不得擅自闯入敏感区域;中心工作人员进出敏感区域操作必须由两人协同进入(一人指纹,一人刷卡),同时要有详细的日志记录;

    四、需要访问敏感区域的访问者,必须由陪同的工作人员从公共区带领进入,必须穿鞋套或拖鞋进入,必要时需穿白大褂,保证机房清洁。参观期间,要求陪同的工作人员始终和访问者在一起,访问期间应注意机房卫生,访问结束后陪同人员负责协助回收访问证件;

    五、进出贵阳高**厅政务中心机房特别敏感区域必须由中心主任会指定的两名管理员协同配合,由一人刷卡,一人输入指纹进入机房,其中有一方不在场则不允许也不能进入机房的特别敏感区域;同时,对所有进出特别敏感区域的事件必须有详细的日志记录;

    六、所有卡、指纹和证件有专人管理,一旦丢失了卡或证件或指纹数据,必须立即向中心管理员报告,同时采取相应的补救措施,如取消该卡或该证件进出机房的权限以及补录指纹等措施;

    七、对公共区的访问可以由机房保安人员陪同,登记后即可访问和参观该区。

     

    • 岗位责任与权限管理制度

    贵阳高**厅政务中心信息系统日常运行维护管理,由工作人员严格按照划分的岗位执行,对应岗位赋予相应责任和权限。

    一、贵阳高**厅政务中心信息系统的日常运行维护管理工作由中心运维人员承担;

    二、按照运行维护需要设置相应的组织机构,保证系统安全运行、业务有序开展;

    三、根据运行维护需要设置业务岗位和管理岗位;

    四、业务岗位应包含业务管理人员、系统维护人员、文档和介质管理人员、业务受理和咨询服务人员;

    五、管理岗位应包含保密管理人员;

    六、岗位设置应责任到人,业务管理人员中,业务管理和操作人员与审计管理人员应设置不同人员;

    七、相应岗位人员不得越权使用系统。如岗位人员缺岗需其他人员代岗,须先报请运行维护领导者批准。

    • 机房日常安全管理制度-总则

    必须严格遵守《互联网信息服务管理办法》、《互联网电子公告服务管理规定》、《中华人民共和国计算机信息网络国际联网管理暂行规定》等国家有关法律法规;

    严格执行安全保密制度,对所提供的信息负责;不得利用计算机网络从事危害国家安全、泄露国家秘密等犯罪活动,不得制作、查阅、复制和传播有碍社会治安和有伤风化的信息;必须接受并配合国家有关部门、各级网络中心依法进行监督检查;

    严格执行有关维护管理的各项规章制度,维护规程;

    机房保持整齐、清洁,严禁吸烟、吃零食、闲谈及大声喧哗;制定机房每日清扫人员安排表,并定期进行大扫除;

    爱惜设备、仪器,保持设备的日常清洁,严禁携带强磁物进入机房,进入机房时要更换专用工作服和专用工作鞋;

    为了保证系统的正常运行,以及机房对运行和安全上的要求,在机房实行7*24*365值班制度,值班人员为不少于1名,保证出现故障能及时处理;

    凡进入机房进行日常维护和检查需两名以上工作人员,一人操作,另一人对所做操作进行记录;

    维护网络、机房的安全使用,发现故障及时处理并填写好各项记录;

    对设备应按正常规程进行操作,不得随意进行任何与工作无关的其他操作;

    机房内的任何设备不得随意拆卸、破坏;

    一般情况下,非工作人员不得进入机房;

    需要进出机房进行维护或其他非常规操作的人员,按机房出入控制制度进行管理;

    管理好各类原始记录和技术档案资料。定期向中心主管部门文档管理人员提交原始记录和技术档案资料归档管理;

    严禁携带照相机、摄像机等映像设备进入机房进行拍照、录像等活动;

    机房进出专人管理,做好登记;

    对各级机构人员编制、机房、设备图纸、系统资料等机密资料不得抄录影印或对外泄露;

    未经批准不得将机密图纸、机密文凭、软件版本、技术档案和内部资料携带出机房,并按时履行清退和登记签收手续。

     

    • 机房日常安全管理制度-日常维护管理

    日常维护指日常检测等经常性的简单维护工作,日常维护应在业务空闲时进行。发现不正常情况应及时处理和详细记录,对处理不了的问题,应立即向主管人员报告。日常维护工作主要内容包括:

    一、日志管理。主要是包括网络进出访问、机房对外应用系统、系统操作员的所有操作活动、与各分中心的交互活动、服务器运行情况、系统备份等信息进行日志记录。日志管理的功能包括:日志参数设置、日志查询、日志备份等。中心必须保存有全部详细的日志记录。设置独立的日志审计服务器存放各种日志信息,当日志库达到一定数量或日志记录超过一定时限的时候,操作员需归档备份日志,即是将日志转存到系统日志历史库中,保存于不可更改的介质上;

    二、日常检查。每日巡查至少四次,包括:配线间、空调房、UPS房、监控室、消防间、操作区和管理区,如有异常,按《机房故障事故处理流程》处理;每日早上上班后和晚上下班前检查各网络设备及各应用系统的状况,检查内容包括:防火墙进出访问情况、网络连接、监控系统检查、网站、OA、邮件系统以及日志检查等。如有异常,按《系统故障处理流程》处理;

    三、系统权限管理。针对不同的应用系统、用户实体、操作人员设置数据库信息的访问权限,应用系统功能的选择权限。系统提供对各种应用、各类用户实体、不同担任者的集中式的权限管理;

    四、系统服务维护。提供对各种业务流程的处理和管理方法的维护手段。维护的内容包括服务规则、服务参数设置和服务处理模式。服务维护应提供专门的界面,避免直接通过源程序或数据库进行操作;

    五、系统数据库维护。通过数据库系统提供的维护工具进行。操作人员要观察数据库系统运行的状况,及时对用户实体、数据库、数据空间进行调整,保证系统应能够在发生故障时恢复;

    六、系统服务器维护。通过服务器硬件厂商提供的维护工具进行。包括对服务器系统内部硬件资源的状态检测,对外部设备的检测、硬件障碍的恢复等;

    七、操作系统管理。通过操作系统厂商提供的维护工具进行的。包括对系统运行的状态检测,内部和外部设备的运行状态进行监视,对资源配置进行调整;

    八、系统网络管理。通过网管软件进行。运用设置在网管软件可以对机房各大系统如网站、主机、网络等设备进行集中检测、维护和控制;

    九、应用软件维护。应用软件开发应当按照国家软件工程相关技术标准提交文档资料。对应用软件因功能要求变化或软件出错的维护应当制订详细的可溯性文档,如问题分析、处理方法、处理结果等。

    • 机房日常安全管理制度设备管理

    必须对机房设备采取适当的、严格的安全防护措施以减少偶然无意构成的威胁,如硬设备故障、突然断电或电源波动太大等安全威胁。

    一、未经中心系统管理员同意,任何人不得打开机房服务器机柜,随意拆卸、更换交换机、服务器硬件配置等设备;

    二、机房设备的搬迁,必须填写《物品放行条》,经中心主管部门批准后,由中心系统管理员负责处理;

    三、需对机房设备定期进行设备清点和维护。并填写《机房设备清点列表》;

    四、机房内的所有设备,均应进行定期检查,防止磁场强度超标。

     

    • 机房日常安全管理制度系统安全管理

    一、计算机病毒防范制度。

    1、网络管理人员应有较强的病毒防范意识,定期进行病毒检测,发现病毒立即处理并通知管理部门或专职人员;

    2、采用国家许可的正版防病毒软件并及时更新软件版本;

    3、未经上级管理人员许可,当班人员不得在服务器上安装新软件,若确为需要安装,安装前应进行病毒例行检测;

    4、经远程通信传送的程序或数据,必须经过检测确认无病毒后方可使用。

    二、数据保密及数据备份制度。

    1、根据数据的保密规定和用途,确定使用人员的存取权限、存取方式和审批手续;

    2、禁止泄露、外借和转移专业数据信息;

    3、制定业务数据的更改审批制度,未经批准不得随意更改业务数据;

    4、业务数据规定每周定期、完整、真实、准确地转储到不可更改的介质上(磁带),并要求集中和异地保存,归档保存于保险柜内,保存期限至少十年;

    5、采取多种的数据备份模式,以确保数据的可靠安全,分为本机备份、交叉备份、实时备份、定期冷备份、远程容灾备份;

    6、备份数据每周必须检查一次,检查每日数据是否已经按时完整备份,备份过程是否出现异常;

    7、每月定期从归档备份数据中随机抽取样本进行恢复测试,以检查数据的完整性和可用性;

    8、备份的数据必须指定专人负责保管,由管理人员按规定的方法同数据保管员进行数据的交接。交接后的备份数据应在指定的数据保管室或指定的场所保管;

    9、备份数据资料保管地点应有防火、防热、防潮、防尘、防磁、防盗设施。

    三、网络安全。

    1、网络安全管理员主要负责机房网络的系统安全;

    2、严格控制网络上Email、BBS、WEB、FTP等工具传播或发表危害国家安全、泄露国家机密的信息,不得侵犯国家、社会、集体的利益和公民的合法权益,不得从事任何形式违法犯罪活动;

    3、网络安全管理员对于发现有重大安全事故或隐患,应及时保存证据并上报高一级网络管理部门和公安机关,由公安机关追究其相应责任;

    4、负责日常操作系统、网管系统、邮件系统的安全补丁、漏洞检测及修补等工作;

    5、网络安全管理员应时刻保持对最新网络技术的追踪掌握,实时了解网络的安全动向,了解各种黑客入侵手段,做到预防为主;

    6、良好周密的日志记录以及细致的分析经常是预测攻击,定位攻击,以及遭受攻击后追查攻击者的有力武器。察觉到网络处于被攻击状态后,网络安全管理员应确定其身份,并对其发出警告,提前制止可能的网络犯罪,若对方不听劝告,在保护系统安全的情况下可做善意阻击并向主管领导汇报;

    7、网络安全管理员每日负责检查各网络设备(包括防火墙、IDS、三层交换机、VPN设备、路由器、负载均衡等设备),以及对外开放访问系统(包括网站、电子邮件、对外应用服务等)的日志记录和运行情况,发现异常及时做好记录,并按相关规定进行处理;

    8、设置专门的日志审计查询服务器,对网络进出访问情况进行记录,并定期归档备份;

    9、定期对网络设备配置文件进行备份,并归档保存;

    10、定期测试恢复网络设备的归档配置备份,检查其可用性和准确性;

    11、所有网络设备必须保留一台作冗余,已备损坏后做到快速恢复;

    12、在做好本职工作的同时,应协助机房管理人员进行机房管理,严格按照机房制度执行日常维护;

    13、每月安全管理人员应向主管人员提交当月值班及事件记录,并对系统记录文件保存归档,以备查阅。

    • 机房日常安全管理制度人员管理

    一、操作员安全管理。中心的操作员分为:系统管理员、业务管理员和业务操作员。业务操作员由本中心业务管理员产生并赋予权限,业务管理员由本中心的系统管理员产生并赋予只有产生本中心业务操作员的权限,中心的系统管理员由系统初始化产生并赋予最大权限。

    对不同的操作员根据业务需要,可设置不同的操作权限,还允许根据实际需要修改操作员的权限。

    二、机房进出人员管理。机房出入控制指对内部和外部人员进出机房所作的限制和规定,具体包括:

    1、对机房应建立严格的进出管理制度,无关人员未经机房值班人员批准,严禁进入;

    2、机房采取分区控制。根据每个工作人员的实际工作需要规定能进入的区域,并对进入、退出时间及进入理由进行登记。对无权进入者的跨区域访问或外来者进入机房,必须经过机房值班人员的批准,并做好记录;

    3、进入机房需两人以上,采用密码输入加指纹的验证方式,进入核心区需按规定做好记录;

    4、凡不属于中心内部工作人员的其他单位工作人员进入机房前,必须填写《系统维护登记表》,经中心领导批准后,由机房值班人员陪同进入机房,机房值班人员应按照《维护登记表》严格监督此类工作人员进入中心机房后的工作并填写相关记录;

    5、凡跨区域或外来单位来访人员进入机房前,必须填写《来访登记表》,经中心主管部门领导批准后,由机房值班人员陪同进入机房。

    三、值班人员安全管理。为了保证系统的正常运行,以及机房对运行和安全上的要求,机房实行24小时值班制度,值班人员为不少于1名。对值班人员的要求如下:

    1、坚持四项基本原则,杜绝违反四项基本原则和情调不健康的信息上网或下载;

    2、严守保密规则,注意保守国家和部门的机密;

    3、遵守职业道德,为用户的个人资料、邮件和交换的数据文件保密;

    4、做好当天的卫生值日,保持机房的整齐、清洁;

    5、当班人员要严格遵守、并遵照执行机房管理制度,不得有任何违反行为;

    6、发生故障、迅速处理、及时排除。发生重大故障,例如服务器无法正常启动或某个软件模块不能正常运行一个小时以上,在处理同时,立即报告上级部门;

    7、当班人员要检查和分析设备及系统运行情况,保证设备的完好,电路合格通畅,系统运行正常;

    8、按规定时间上下班,未经批准不得擅自调换班次或离开岗位。在值班期间不得做与工作无关的事情;

    9、值班人员严格执行交接班制度,做到手续清楚,上下衔接;

    10、值班人员要正确及时的填写好各种原始记录,包括值班记录、故障记录、开通记录、设备日常检修记录、交接班记录。并妥善管理,直到交班;

    11、值班期间要尽职尽责,不得随意中断电力供应,不得随意改动系统数据;不得在毫无把握的情况下,对系统做任何的操作,以免破坏系统;

    12、未经上级主管部门批准,严禁修改系统数据;

    13、对系统所做的任何操作都要有详细的记录。

    四、交接班人员管理。交接班过程中双方人员的主要工作内容包括:

    1、检查网络、系统、动力及其他机房外围设备的运行情况;

    2、查看值班记录,了解系统运行情况;

    3、检查机房电源空调设备是否符合要求;

    4、防火装置及灭火器是否齐全、良好,告警装置是否正常;

    5、监控系统数据是否异常;

    6、在交接班时所发现的问题均应记入交接班记录薄中,并由交接双方签字;

    7、交接班时发生故障,暂缓交接,接班人员应协同处理或告一段落时再进行交接;

    8、属于漏交造成影响系统运行的,由交班人员负责;

    9、由于未认真进行接班而产生的问题,由接班人员负责。

    • 机房日常工作规范-每年工作

    一、系统脆弱性评估。每季度对系统进行脆弱性评估,扫描主要对外服务器的WEB漏洞和系统漏洞,针对发现的问题,进行安全防护,最终填写《主要对外服务器安全季度检测》。

    二、系统日志检查。检查中心信息系统的运行日志,分析日志中出现的异常。若日志中的异常因系统、网络故障所导致,将故障进行定级,把故障的情况和处理方法加入《中心系统故障处理规范》中。

    四、资料归档。归档《机房日常维护记录表》、《系统异常情况登记表》、《值班登记表》、《来访人员登记表》、《设备维护登记表》、《物品及费用管理登记表》;归档系统维护日志和数据库操作日志。

    五、清洗空调冷凝器(适用普通空调)。对于普通空调的室外冷凝器应每年至少清洗两次。使空调的冷凝器有良好的换热效果。避免空调室外风机的频繁启动及长时间运行。以提高空调的性能和节能。

    六、清洗/更换空调加湿器(适用精密空调)。对空调的加湿器应每季度作一次清洗工作,以使加湿器能正常工作保证机房的湿度正常和延长加湿器的工作寿命。对于结垢严重的加湿器应作更换。一般每年更换两次。

    七、清洁/更换空调过滤网。一定时间后空调的过滤网恢沾上较多的灰尘,为使空调具有较好的制冷效果,缩短空调压缩机的运行时间而节省电能及发挥空调的良好性能,过滤网需要每季度清洗一次。
    对于老化的或使用时间较长的过滤网应作更换处理,一般每年更换两次。

    八、检查空调制冷剂量(雪种)。对空调的制冷剂量一般在每年四-五月份(夏季空调使用高峰来临前)作一次检测,看空调制冷系统的制冷剂量是否合适。以免使压缩机过负荷工作或轻载工作而影响制冷效果。

    九、机房清洁。年终对机房所有设施及内外环境进行大扫除,保持机房一个洁净的环境。

    十、UPS保养。每半年进行一次UPS的完全充放电,放电完全后再充满电,保持UPS电池性能。本操作需要填写UPS保养记录表。

    十一、消防应急灯保养。每半年进行一次消防应急灯的完全充放电,即完全放电完全后再充满电,保持消防应急灯电池性能。本操作需要填写设备维护记录表。

    十二、蓄电池保养。每半年进行一次蓄电池的完全充放电,完全放电后再充满电,保持蓄电池的性能。本操作需要填写《设备维护登记表》。

    十三、环境综合检查。检查电力、空调、门禁、监控和消防系统:请物业和消防部门对机房各系统进行检查,杜绝隐患。

    • 机房日常工作规范-每月工作

    一、备份删除。检查各系统备份情况,根据备份机制,删除冗余

    备份,保证系统资源的有效利用,具体情况如下:

    1、备份机制为本机备份和备份终端备份,具体情况是:

    1)本机备份:信息系统本机数据库备份删除(保留完整的一个月数据)。
          2)终端备份:所有的删除机制都是自动进行,检查自动删除是否已完成即可;

          3)磁带备份:不做任何删除操作,检查磁带是否已满,如满

    则更换,直至无磁带更换时,擦录旧磁带,覆盖原有数据;删除备份应做到细心谨慎,不可误操作。除终端备份,一般都要保留一个月,即各系统都至少有一个月的数据存档保存。

    二、资料归档。归档《机房日常维护记录表》、《系统异常情况登记表》以及《值班登记表》;归档系统维护日志和数据库操作日志。

    三、监控系统维护。检查监控系统状态,主要包括监控软件的各项参数以及硬盘的使用状态,保证监控系统的正常运行。

    四、门禁系统维护。检查门禁软件的各项功能、上个月的门禁记录和硬盘的使用状态,将检查结果详细记录到《机房日常维护记录表》。

    五、操作系统升级。检查操作系统的最新升级包和补丁,并对操作系统进行升级/打补丁,保证服务器操作系统的安全。对操作系统打补丁,必须按照《系统变更制度》,经过严格的测试,并通过审核的情况下进行。

    六、设备资料备份。对重要设备资料进行备份,包括防火墙、入侵检测系统、核心交换机等重要设备的配置文件以及数据库的建表语句(如有改动)等。

    七、清洗空调室外冷凝器(适用精密空调)。空调室外冷凝器(也叫室外散热器)容易吸入较多灰尘,为使空调的冷凝器有良好的换热效果,避免空调室外风机的频繁启动及长时间运行,以提高空调的性能和节能,同时精密空调需要较好的维护,因此对精密空调的室外冷凝器每月用水冲洗一次。

    八、发电机每月检修。对机房发电机每月进行两次测试运行以便检修,保障发电机的正常运行和日常维护。

    九、消防每季度巡检。对机房消防系统进行季度巡检,保障消防系统的正常运行和日常维护,巡检内容请见《消防设备定期巡检记录表》。

    十、精密空调每季度巡检。对机房精密空调进行季度巡检,保障精密空调的正常运行和日常维护。

     

     

     


     

    展开全文
  • ——著名等级保护专家陆宝华谈我国信息安全等级保护概况  一、什么是等级保护 等级保护在我们国家从2004年正式推动到现在已经4年过去了,那么,什么是等级保护等级保护是三大项内容:  1. 对信息信息系统分...
    等级保护概述
    ——著名等级保护专家陆宝华谈我国信息安全等级保护概况

      一、什么是等级保护
    等级保护在我们国家从2004年正式推动到现在已经4年过去了,那么,什么是等级保护?等级保护是三大项内容:
      1. 对信息和信息系统分等级进行保护。这也是一项核心工作,最重要的工作。
      2. 对信息系统安全专用产品分等级进行管理,将来各个单位使用的安全产品应该是分等级的。定了三级的系统不能使用二级以下的安全产品。43号文对这方面已经做了一些初步的规定,但是详细的规定现在还没有出台。
      3. 对所发生的信息安全事件分等级进行响应和处置。

      1、信息和信息系统分等级实行安全保护
      我们国家把信息和信息系统按照重要程度,也就是对单位的利益,社会公众利益,对国家安全的影响,三方面要素的重要程度来确定信息系统的安全等级。这个 等级一共分为五级。第一级是最低的,第五级是最高的。信息安全等级保护制度是我们学习国外的先进方法,美国从1983年开始美国国防部出台了橘皮书,橘皮 书把操作系统划分为四类八个等级。应该说,那是等级保护的先行者。当然这四类八个等级是根据技术程度所采用的安全机制多和少,强和弱来确定的。橘皮书名字 是《可信计算机系统评测准则》。我们国家在1994年出台了国务院的147号令,《中华人民共和国计算机信息系统安全保护条例》里面已经明确的规定,在我 国要实行信息系统的等级保护制度。这就是等级保护的由来。 这项工作是1994年提出,到2004年国务院的四大部局,公安部、国家保密局、国家密码局、前国务院信息化办公室,联合下了66号文,正式提出信息安全 等级保护要在我国开始实施。当时,把信息安全等级划分了五个等级,起了相应的名字:
      第一级:用户自主保护级
      第二级:指导保护级
      第三级:监督保护级
      第四级:强制保护级
      第五级:专控保护级
      去年的43号文,相当于一个法规的出台,等级保护管理办法把这些名字都去掉了,只是叫一级、二级、三级、四级、五级,这五个级别。

      2、国家对信息安全产品的使用实行分等级管理
      按照信息安全产品的使用要根据可控性、可靠性、安全性和可监督性这四个属性确定信息系统使用的安全产品等级。这四个属性在正式的文件里没有体现,43 号文里没有提到这四个属性。但是43号文里指了信息系统安全专用产品应该是国内生产的,源代码这些东西应该是国内生产的。43号文里只是就安全性这个角 度,给出了你使用安全产品必须是国产这样一个要求,但是还没有明确这个信息安全产品等级究竟应该怎么划分。
      很多的安全厂商都说用户问到,我买了你的安全产品是不是达到了这个等级?你的安全产品是不是符合这样的等级?我给他们的回答是否定的。要看是否符合等 级要看产品是否符合国家标准,如果符合了标准,那就符合安全等级。如果没有符合标准那就不符合安全等级。第三级从技术的角度应该对应着标记保护级,标记保 护级里面应该要求实行最小授权,不应该再有超级管理员的身份。超级管理员必须分别为系统管理员、系统安全员和审计员。权限低的人活动都可以查询。但是管理 员本人做的坏事,要把这个痕迹都擦掉,这个问题怎么解决?对于三级以上的信息系统,我们就要求这些东西是不能擦掉的,至少审计员必须是独立出来的。目前我 们的安全产品虽然也设了审计员,但是超级用户还是存在的。这个问题就没有达到标记保护级的要求。这是一个漫长的过程,昨天郭处长也在讲,从现在推动,通过 检查、测评、整改,真正能达到初步规范,他的预计是三年时间,我考虑对各大部委来说三年的时间可能会实现,就全国来说,三年肯定是不够的。而且我们的安全 产品提升到新的水平也要过程。

      3、信息安全事件实行分等级响应处置
      国家已经把信息安全事件以国标的形式进行了分类和分等级。这些分类和分等级依据国标,我们对不同的信息安全事件,由监管部门牵头组织全社会的应急响应和你单位的应急响应相结合,最大限度的减轻信息安全事件造成的损失。
      等级保护的法律依据及技术标准:人民警察法,计算机信息系统安全保护条例、43号文、信息安全等级保护管理办法、 等级保护的各类文件:中办、国办的27号文、04年66号文,06年7号文,07年43号文。
    等级保护技术标准:从技术的角度就必须依据国家相应的安全标准。实际上不仅仅是在技术方面,在管理方面,工程方面都应该按照国家的标准做。我们国家出台的 第一个关于等级保护的标准是1999年出台的国标17859,这个标准叫做《计算机信息系统安全等级划分准则》。这里面把信息系统按照安全机制的多与少, 强与弱也划分了五个等级。
      第一级:用户自主保护级
      第二级:系统审计保护级
      第三级:安全标记保护级
      第四级:结构化保护级
      第五级:访问验证保护级
      这五个等级和前面说的1、2、3、4、5有相通的地方,又有不同的地方。前面的五个等级怎么确定,并不是根据采取的安全机制的多少和强弱来确定等级,而是根据你的信息资产的重要程度来确定安全等级。
      安全等级的确定基本依据是数据的重要程度和系统的服务功能的重要程度,由这两个重要程度决定了你的信息资产应该具备的等级。国家已经出台了一个关于定 级的指南,信息系统安全保护定级指南,大家可以看一下。而且定级的工作,去年下半年开始,第一期的定级工作已经在全国结束了,当然以后还会有一些单位接着 定级,来做这些工作。但是第一期最重要的部分单位定级已经问题,并且到公安部门已经备案。
      17859等级划分准则由于是99年出台的,很多问题没有考虑到,这个标准实际等于是橘皮书的一个翻版。所以对一些问题考虑得还是不完善的。橘皮书主 要是从信息的机密性角度给出了四类八个等级:D类(没有任何保护的)、C类(分为C1和C2级)、B类(分为B1、B2、B3)、A类和超A类。
      超A类没有描述,A类有描述但是实现起来还有很多问题,尤其是在我们国家。我们国家制订这些标准的人,就把橘皮书去了头和尾,把D类、A类和超A类去 掉,只留下B类和C类,就出现了前面说的这五个等级。第一级和第二级是C1级和C2级,第三级、第四级、第五级对应的是B类的B1、B2、B3。我们比橘 皮书有一点很重要的进步就是提到了完整性保护的问题。虽然提了,但是没有细致的讲这个完整性应该保护到什么程度,怎么保护。
      由于17859的这些不足,2002年公安部又组织了很多专家起草了公共行业安全标准,387—392。这个标准就是对17859做了一个很好的说明 和补充。这条标准到06年,提升为国家标准,GB/T20269—20273标准。
    第十二条在信息系统建设过程中,运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》、《信息系统安全等级保护基本要求》等技术标准,参照之前 的一些标准做一些等级保护措施。第十三条,提出应该按照这些标准建设安全管理制度。
      这是已经出台的国家等级保护体系,有一些产品的标准,事件处理得标准,服务的标准。这些标准有的已经作为国标正式发布,相当一部分属于报批稿,没有完全正式发布。
      等级保护的开展:对于一个单位来说就是这五大步骤,系统的定级、备案,这一个阶段就全国来说最重要的部分已经完成。接下来的工作是要做安全规划和设 计,根据安全规划设计的结果做安全实施,然后是一个长期的运行维护过程,最后是系统的废止。
      等级保护当中应用软件安全的环节是非常重要的环节,微软现在也经常讲安全问题已经不仅仅是操作系统的问题。昨天冷女士的报告当中数据都是非常有意义 的。我从2003年开始就非常关注关于应用软件的安全。今天这个峰会这个议题也是我提出来的,而且我建议峰会把这个议题作为一个长期的议题坚持下去。
    在等级保护过程当中,应用软件的安全实际上应当是我们信息系统安全的一个核心部分。我们在网络上做的安全防护,在操作系统上做的安全防护,在物理层面做的 安全防护,实际上它们的目的都是为了维护应用的安全。所以应用软件的安全是一个核心的地位。

      二、应用软件安全的重要性与地位
      1、应用系统的重要性
      我们把应用系统应该看作是信息系统当中安全的核心部分。为什么这么讲?我是从风险评估的思想看待我们的应用系统。
      第一,应用系统自身是非常重要的。
      第二,应用系统本身存在着脆弱性。
      第三,应用系统存在的威胁,存在的攻击是不容易防范的。
      应用系统的重要性是不言而喻的,各个单位建设信息系统实际上就是为了应用,为了完成各自单位的信息使命,不是买了计算机以后再那儿放着好玩,而是为了 应用。我们建系统目的是应用,应用由谁来完成?我们搭建了网络,安装了操作系统,我们的应用照样完不成,必须由应用软件来完成。
      一个业务战略也就必然的涉及到了相关的业务流程,相关的数据,相关的通信问题,这三个方面决定了应用系统是非常重要的。
      数据有直接生成各类数据还有录入的各类数据。这些数据可能存储在某个地方,也可能是在系统中流动。这些数据可能进行加工处理,处理的过程当中也是需要保护的。
      直接完成所承载的业务。等级保护确定安全等级依据什么?实际上就依据了这样两项,一个是数据,第二个是所承载的业务,系统所提供的服务功能。我们现在 确定安全等级就由它们来确定。你说这两个东西重要不重要?一旦它们确定了安全等级,信息系统的整体安全等级就确定了,所以它们是非常重要的东西。
    我们的应用层,应用系统又是通信的发起层和最终的接受层。在网络上总是要进行终端与终端的交互,终端与服务器之间的交互,这就是一个通信的问题。不管通信 过程有多么复杂,但是最终是要端到端,用户到用户。也就是说由最终的应用层发起和接受这些东西。被传输的数据就要保护机密性,完整性,这是对于用户系统来 说。
      我们的信息系统当中有两类数据,前面我说的都是指用户数据,为了保护这些用户数据必然会存在另外一部分数据,那就是安全数据。在CC标准里面把它叫做 TFF数据。对于传输的用户数据我们要求要保护它的机密性,完整性。对于相关的安全数据就要保护它的机密性、完整性、可用性。今天不讨论CC,也不讨论数 据传输通信过程中很具体的技术问题,所以就不继续往下谈了。要实现这种保护就相应的应该对通信数据的操作者有相应的一些安全要求。

      2、应用系统可能存在的脆弱性
      实际上“可能”两个字我觉得应该去掉,应用系统肯定存在着脆弱性,这是不言而喻的。我把脆弱性归结为三个方面:
      第一个方面是开发过程的安全问题。
      第二个方面是软件本身存在的脆弱性。
      第三个方面是软件可能导致管理方面的漏洞。
      昨天很多专家做了报告,很多人发表论文都在谈脆弱性。实际上大多数人谈的是软件本身的脆弱性,关于开发过程的问题以及软件带来的管理问题是很少有人关 注的。这方面的问题并不是不严重,我谈的东西,很多东西是我的经验,我的经历,不是我在这里看到哪些书,看到哪些专家的报告说出来的,而是我亲身经历过的 事情。从2003年我就开始呼吁要加强对安全软件方面的关注,也正是因为这个原因,正是因为有了这些经历,我才提出这样的想法。
      软件开发过程的安全问题:在开发过程当中开发商必然要获取甲方的一些很重要的数据。这些数据对其他人如果不进行保密的话,这种泄漏对甲方的伤害是非常大的。
      开发好的源代码泄漏了,在开发的过程当中恶意的软件人员在软件中插入恶意代码或者留下后门。故意使存在各种各样的错误,这都是在开发过程中存在的问题。
      开发过程过程中还存在一些技术安全问题,包括开发平台的选择,中间件的选择、开发语言的选择、是否采用了模块化的开发方法、安全机制的设置是否合理, 分发过程中的安全问题、升级维护过程中的安全问题。昨天冷女士介绍的关于应用软件安全模型的问题,我是非常感兴趣的,我准备和她做更深入的交流。实际上, 这些东西都会带来相应的安全问题。
      在应用软件本身的脆弱性方面,存在的陷门这些东西大家都是清楚的。漏洞、各种各样的错误,可能会存在隐蔽通道。关于隐蔽通道的问题大家可能接触得比较 少,像漏洞、陷门这些东西大家可能接触得比较多。隐蔽通道在等级保护中对四级以上的信息系统对隐蔽通道问题是有要求的。在17859里面规定对结构化保护 级要能标识出隐蔽通道,对于访问验证保护级(第五级),要求不但能够标识隐蔽通道,而且要对隐蔽通道进行某种计算,包括它的带宽的问题。隐蔽通道我们在计 算机的使用过程当中,隐蔽通道的问题是不可避免会存在的。所谓隐蔽通道就是我们预先不知道的,或者预先不想用的通道。
      如果我的一台打印机打印的时候,在设定时间内打印的时候记为二进制的1,不打印的时候记为二进制的0。我就可以和另外一个人相互勾结,由掌握重要信息 的人把01,01通过打印和不打印的操作,就把01,01的信息传给了不应该知道这件事的人。这个隐蔽通道的带宽肯定是窄的。但是在计算机理,我们的 CPU,或者某一个部件的带宽是足可以泄漏一些重要信息。所以隐蔽通道的问题,在高的安全等级里面就有很严格的要求。我们在开发软件的时候对这个东西就要 很关注。
      由开发工具带来的安全隐患:所有的开发工具都有本身所有的脆弱性,比如说原来的PB,会有大段大段的现成程序拿过去。那里面可能就存在很多现成的漏洞。
      软件缺少必要的安全机制:这个问题是一个普遍存在的问题,现在好多开发软件的厂商,昨天冷女士也在讲搞软件的人不懂安全,这也是一个普遍存在的问题。 很多人可能想软件就是给你提供实现你的业务战略的功能,没有必要考虑安全机制。实际这种想法是不对的,这是一个错误。安全机制,网络和操作系统确确实实给 我们提供了很多的安全机制,但是这些安全机制是不完善的,而且是很粗略的。拿操作系统来说,操作系统会把内存用一个指针划分为系统区和用户区。用户肯定不 能进入到系统区里面去,但是在我们用户区,在使用这个系统的用户当中会有不同等级,不同属性的用户来共同使用这个内存。这个区域要不要进行区分?如果一个 低等级的用户侵入高等级用户使用的区域,获得了高用户的一些信息,信息有可能泄漏或者被破坏。所以单纯由操作系统解决所有的机制问题是不可取的。等级保护 基本要求里面已经把应用软件的安全要求提出来了。
      应用软件的安全设置也是一个TCB的组成部分,TCB(可信计算基)。
    脚本语言和程序带来漏洞、在软件中设置逻辑炸弹、溢出、通讯的垄断问题,都是应用系统本身存在的脆弱性。
      应用软件本身很可能是完善的,本身不存在上面说的那些问题,但是它有可能带来管理上的漏洞。一个好的软件应该使你的管理更方便。如果不好,就会使你的 管理造成严重的问题,甚至会导致犯罪。因为管理上的漏洞,应用软件存在的问题导致管理上的漏洞,在大连已经抓了一个人,判了8年。这个事情在报纸上登出 过。

      3、易受到攻击且不容易防范
      应用系统容易受到攻击,但是又不好防范。发现不容易,防范不容易,我们在网络层,在操作系统层总是能够想出很多办法。比如说在网络边界上架上防火墙, 可以把很多事情封掉,可以一下提升网络的安全防护能力。操作系统有漏洞可以打补丁,可以用漏洞扫描。由于应用软件的千差万别,没有办法用一个统一的模式来 做,所以发现问题不容易,攻击的目标,很多人真实的攻击目标恰恰是你的应用软件,你就没有办法把这个问题解决好。
      比如说80端口,做一个网站,有外部服务的话,80端口就必须开着。你是一个黑客还是一个用户,在登录的时候是发现不了的。登录以后他做了一些什么 事,和正常的访问肯定是不一样的。这个时候没有办法防范。就像是到一个球场去,有的人是恶意闹事,他进场的目的不是为了看球,是为了闹事。把门的人没有办 法认定。这样的问题,我们必须通过应用软件自身想办法解决。
      正因为如此,所以应用软件的安全是特别重要的。

      三、程序安全
      1、应用程序的安全要求
      一个程序的安全要求有这样几个方面
      功能要求:用户对信息的安全传输和存储的要求要能够保持机密性和完整性,应该支持单用户到多个用户广博的系统,确定和验证信息来源的能力,对已有安全特征的知识,对用户要有最小的影响。
      互操作性要求:在用户客户之间,客户与服务器之间,以及在客户、服务器和安全管理系统中都需要互操作性。主要包括使用标准化的用户到用户、对等层之间、客户到服务器的协议以及管理的协议。

      2、攻击与对策观察
      应用程序可能遭受的攻击包括:
      1. 工程
      2. 利用数据的执行和发动攻击
      3. 伪装成授权用户或服务器
      4. 非法使用系统应用程序和操作系统软件,数据修改
      5. 拒绝服务
      6. 设备修改或窃取
      7. 流量分析
      8. 密码分析
      9. 信息系统分析
      10. 分发攻击
      11. 合法用户的不适当操作
      以上这些都是可能使应用程序遭受的攻击。针对这些风险应该采取相应的对策由系统或者支持服务所提供的对策和与应用程序进行有关联的对策。
      系统的每一个链路都是一个潜在的脆弱点,甚至每一个链路上的节点都是潜在的脆弱点。一个伪造的链路可以导致拒绝服务或对数据的损坏,系统提供的对策的 特点就是对数据传送路径上的所有脆弱点进行加固,而应用提供的对策必须由特定的第三方来加固,不应有甲方或者乙方来做。
    系统所提供的对策包括:系统完整性、硬件的物理保护、基本OS安全、备份和恢复过程、反病毒软件、入侵检测软件、防火墙、对介质的物理保护、适当的过程安全。
      至少在四级以上的系统可以不考虑反病毒的问题,因为实行了强制访问控制以后,在系统里面就不允许随便的创建客体,即使你感染了某些病毒,由于企业的权限和毒的权限受到控制,危害就会降到非常低。
    就应用程序的安全机制问题来说,前面我提到了应用程序一定要考虑安全机制,不应该把安全机制全部的扔给操作系统。实际应用系统安全机制是整个信息系统安全 机制的重要组成部分。关于可信计算基的概念实际上是1983年由美国人提出来的。但是最近至少有7、8年的时间里面,我们的安全厂商,安全专家,很少有人 在这里讨论可信计算基的问题。大多数人都是从具体的实用主义目标出发,谈防火墙的问题,谈IDS的问题,谈防病毒的问题,这些东西比比皆是,真正谈论信息 系统安全当中最本质的东西,可信计算基的概念讨论的人非常少。包括出版社出书也不愿意出这个东西,不信大家到书店里面翻翻,很少有人介绍计算基的问题。
    我去年出了一本书我把可信计算基的问题认真的做了阐述。实际上我们的安全本质是这个东西。可信计算基的概念是美国国防部在1983年提出来的概念。在我国 的标准当中也引入了这个概念。比如说17859里面就把这个概念引入了。在2006年出台的配套国标当中没有使用可信计算基的概念,但是使用了安全子系统 的概念。
    安全子系统和可信计算基之间的关系是一碗豆腐和豆腐一碗的事情,都是一回事,安全子系统是美国国家计算机安全中心提出来的概念。我更倾向于可信计算基的概念,这个概念更能反映安全一些本质上的东西。
      什么是可信基?橘皮书乃至我们的国标里给的定义是计算机中给的定义是,计算机中与安全有关的要素总和就是可信计算基。它实际可以包括:
      1. 操作系统、数据库中的安全内核
      2. 应用软件与安全相关的部分
      3. 具有特权的程序和命令
      4. 处理敏感信息的程序
      5. TCB实施安全策略的文件
      6. 其他可信的软件、硬件、固件和设备
      7. 负责系统管理的人员
      8. 保障正确的程序和诊断软件
      以上这些都是可信计算基的组成部分。
      橘皮书发展再加上许多国家的加盟,把这个橘皮书演变为可信计算基系统准则(CC)。这个标准非常好,我认真的做了研究,CC里面没有谈可信计算基的问 题,提出了一个评估对象的概念。它把任何一个被评估的对象都称为TOE。这个评估对象既可能是一个应用软件,也可能是一个具体的产品,还可能是整个的信息 系统,不做那样具体的区分。所有的东西都叫TOE。它评估的是评估对象当中安全的部分,实际上指的就是可信计算基。CC里面,我觉得它一个非常好的做法是 把安全里面构成可信计算基的要素和构成可信计算基的方法清晰过程分开了。把构成可信计算基的要素,把它称之为安全功能技术。而把构成可信计算基的方法或者 工程,把它们叫做“安全保障技术”。这是CC很大的一个贡献。
      我们国家现在采用的标准当中也已经把这个东西分开了,安全功能技术和安全保障技术。但是我们国家的专家把安全保障技术的理解和CC不一样,我们是把真 正的能直接提供安全功能的那部分叫做安全功能,把对这些直接起作用的部分,这些安全功能提供相应的保障,像TCB的管理问题,和TCB自身安全的问题,也 认为是保障技术。在20269一直到20273标准里面都有明确的体现。CC的缺陷是没有关注系统连续性运行的问题,实际上它还是从保护数据的角度出发。
      我个人的观点,TCB的核心是控制与反控制的问题。信息系统的安全保护目标:用户数据与服务功能。这也是信息安全等级保护当中用它们来进行等级确定的两个基本依据。在信息系统当中,存在的基本控制是:
    对存储状态下的数据进行访问控制,现在Windows提供的访问控制的方法基本上还属于C类的控制方法,自主访问控制。对于访问控制,C类的自主访问控制 实际是由系统管理员和文件或者说客体的持有者决定的。我是持有者,我同意把这个客体转移给谁,那是由持有者决定的。对于强制访问控制这种问题就不存在了, 强制访问控制是要把主体和客体都要打上标记,这个标记表明安全属性及等级,同时指出主体和客体的范畴级。根据这样的范畴级和标记来确定安全访问策略。对于 保护机密性和完整性应该采取不同的访问控制策略。我们很多做安全的人,不清楚对数据的保护机密性保护和完整性保护它们之间是存在严重冲突的,而且这个冲突 是不可调和的。很少有人明确的指出这样的问题,这在我们做软件的过程当中,或者做安全的过程当中不关注这件事,很可能我们做的事会带来很大的危害。
      比如说我这个地方需要做完整性保护,但是我特别强调了残余信息保护这项。我对残余信息一定要清楚干净的话,完整性保护就没法做了,恰恰和保护目标进行 冲突。在访问控制过程当中也是,做信息系统当中,操作无非是五大项,读、写、只读、控制、执行。就读写来说,从访问控制规则上可以看,作为机密性上来说, 过去经常发文件,说这个文件只传达到县团级,你是一个科级,或者是副处级的不应该读到这个文件,向上是不能读的。作为文件的持有者可能是一个司局级干部, 他回家以后把这件事跟老婆孩子一说,老婆孩子不具备这个级别,他就这把事情向下写了,把这个机密性泄漏给了比他级别低的人。这样一个规则在保护机密性当中 就是把机密性破坏了。从保护机密性的角度,向上不能读,向下不能写。从保护完整性角度来说这个东西恰恰应该是返过来的,向上写意味着你可以破坏比你等级更 高的文件。向下读就意味着低安全级别的文件把你的高安全级别的文件污染了,你的完整性被破坏了。所以保护机密的安全性和保护机密的完整性,两者之间是不可 调和的我们在做软件的过程当中,特别是做三级以上信息系统软件就应该考虑这个问题。
      对于数据流和信息流的控制,信息流的产生是因为主体操作了客体,引起在机器内部或者网络上做的流动。我们对数据流的控制是只能向上流不能向下流。对于 数据库系统,应该附加的一个控制就是推理控制。所谓推理控制就是根据已知条件求未知因素的做法。很多人都会推理,我们打扑克牌的时候,上家出的什么牌,下 家出的什么牌就能判断出这个牌在谁的手里,他的牌其实你没有看到,这就是已知和未知的问题,我们的数据库里还应该增加这样一项控制。
      应用程序就应该根据这样的思想来构建应用程序的安全机制。首先应该考虑应用程序的环境,这个环境是指网络、操作系统、数据库、服务器。还应该包括控制之外的环境,工作站的硬件运行环境等等。
    应用程序的安全机制,从安全功能上来讲这些是应该有的:
      1. 访问控制:对于二级以下的应用软件应该考虑自主访问控制。对于三级以上的信息系统使用的应用软件应该考虑强制访问控制机制。
      2. 标识与鉴别:因为你的信息访问的基础是身份认证,也就是标识和鉴别的问题。
      3. 数据完整性
      4. 数据保密性
      5. 可用性
      6. 不可否认性
      7. 审计
      8. 加密
      9. 安全保障机制
      关于安全保障的问题,在此不做详细讨论,CC里面给了7个等级,大家可以参考一下CC的第三部分。
    下面简单说一下等级保护当中对应用软件的安全要求:
      大家要知道这样几个字母的意思,S是表明这项技术对保护数据是有用的,可以把它称为保护数据的安全技术。A是对保护系统服务功能有用的。G是对保护数 据以及保护服务功能都用的技术,通用技术。1、2、3、4、5对应的就是安全等级。对于第一级的系统,由于17859把第一级称为自主保护级,所以等级保 护的基本要求也是和它相符合地,要求有身份鉴别功能,访问控制功能,通信完整性的功能,软件容错的功能。
    数据保护:数据完整性、备份和恢复的要求。
      管理要求:自行软件开发安全管理要求。
      工程实施安全要求,系统交付安全要求,等级保护里面都提到了。
      对于第二级,这些黄字的部分是新增加的部分,白色的是第一级已经要求过的内容。身份鉴别里面要求增加了,身份的唯一性和鉴别的复杂度。同时要求了系统 不存在重复的用户身份标识。同时要求身份鉴别的信息不容易被假冒,要求用户身份标识的唯一性检查,信息复杂度检查,登录失败的信息检查。
    访问控制:对访问控制的覆盖范围,与资源访问相关的主体要求。
      第二级增加了审计要求,17859第二级什么审计保护级。审计这一项都是黄颜色的,是这个级别里面提到的,符合17859的规定。
      软件容错的要求、资源控制的要求。
      数据安全及备份恢复也增加了很多要求。
      自行软件开发,外包软件开发,到了第二级,提到了外包软件开发的要求。第一级只提了自身软件开发的要求,很多信息系统需要外部厂商提供这个方面的知识,所以就会要求外包软件开发要注意相关的问题。
    工程实施的要求,测试验收的要求,系统交付的要求。
      第三级,在17859里称之为标记保护级,提出的要求,在身份鉴别里面提到了必须是双因素的,单因子是不行的,其中一种是不能被伪造的。
      访问控制对重要信息资源做敏感标记,这和17859有一些区别,17859是要对主体和客体都做标记,这里只要求对客体做标记。
      这里也提到了应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。
      安全审计,残余信息保护,残余信息保护在17859是第二级当中提出的。基本要求是一个过渡标准,是一个针对我国目前信息系统存在现状不得以采取的技术标准。所以将来的标准还是要以那些标准为主。
      通信完整性问题,软件容错的问题,资源控制的问题,数据备份,数据保密,软件开发的问题,这些就不一一给大家介绍了。基本要求只提了四个等级的信息系 统,第五级在基本要求当中没有提。因为第五级是专控保护级是国家指定专门的部门,进行专门的保护,所以在通用保护级当中不含第五级的要求。
      本文主要内容整理自著名等级保护专家陆宝华先生在2008中国软件安全峰会上的演讲。

    展开全文
  • 等级保护--云计算安全扩展要求

    千次阅读 2020-11-20 17:20:53
    信息安全等级保护,是对信息信息载体按照重要性等级分级别进行保护的一种工作,在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国,信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等...

    信息安全等级保护,是对信息和信息载体按照重要性等级分级别进行保护的一种工作,在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国,信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作;狭义上一般指信息系统安全等级保护。


    云计算技术

    云计算技术服务的五个基本特征:按需自助、无所不在的网络访问、资源池化、快速弹性、可度量的服务。

    云计算的三种服务模式:软件即服务,SoftwareasaService(SaaS);平台即服务,PlatfromasaService(PaaS);基础设施即服务,InfrastructureasaService(IaaS)。

    云计算的四种云计算部署模式:公有云,私有云,社区云,混合云。

    云安全等级测评对象及安全职责

    云安全等级测评范围

    云计算环境由设施、硬件、资源抽象控制层、虚拟化计算资源等组成。

    在不同的云计算服务模式中,云服务商和云服务客户对计算资源拥有不同的控制范围,控制范围决定了等级保护测评过程中测评对象的选择以及安全责任的边界。

    基础设施即服务模式:设施、硬件、资源抽象控制层;

    平台即服务:设施、硬件、资源抽象控制层、虚拟化计算机资源和软件平台;

    软件计服务:设施、硬件、资源抽象控制层、虚拟化计算资源、软件平台和应用软件。

    不同部署模式下云服务商和云服务客户的安全管理责任有所不同,同时测评对象也随之发生变化。

    云安全等级测评对象即安全责任

    IaaS服务模式:

    云服务商责任对象包括基础架构层硬件、虚拟化以及云服务层的防护;

    云租户责任对象包括虚拟机、数据库、中间件、业务应用和数据的安全防护;

    PaaS服务模式:

    云服务商责任对象包括基础架构层硬件、虚拟化以及云服务层、和虚拟机、数据库的安全防护;

    云租户责任主要为软件开发平台中间件以及应用和数据的安全防护;

    SaaS服务模式:

    云服务商的责任对象则包括基础架构层硬件、虚拟机以及云服务层、和虚拟机、数据库、中间件、业务应用的安全防护;

    云服务商责任对象包括业务应用相关的安全配置、用户访问、用户账户以及数据安全的防护。

    云计算环境采用不同的服务的部署模式,也会造成安全责任的变化。

    安全物理环境

    基础设施位置

    应保证云计算基础设施位于中国境内。

    安全通信网络

    网络架构

    应保证云计算平台不承载高于其安全保护等级的业务应用系统;

    应实现不同云服务客户虚拟网络之间的隔离;

    应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力;

    应具有根据云服务客户业务需求自主设置安全策略的能力,包括定义访问路径、选择安全组件、配置安全策略;

    应提供开放接口或开放性安全服务,允许云服务客户接入第三方安全产品或在云计算平台选择第三方安全服务。

    安全区域边界

    访问控制

    应在虚拟化网络边界部署访问控制机制,并设置访问控制规则;

    应在不同等级的网络区域边界部署访问控制机制,设置访问控制规则。

    入侵防范

    应能检测到云服务客户发起的网络攻击行为,并能记录攻击类型、攻击时间、攻击流量等;

    应能检测到对虚拟网络节点的网络攻击行为,并能记录攻击类型、攻击时间、攻击流量等;

    应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量;

    应在检测到网络攻击行为、异常流量情况时进行告警。

    安全审计

    应对云服务商和云服务客户在远程管理时执行的特权命令进行审计,至少包括虚拟机删除、虚拟机重启;

    应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。

    安全计算环境

    身份鉴别

    当远程管理云计算平台中设备时,管理终端和云计算平台之间应建立双向身份验证机制。

    访问控制

    应保证当虚拟机迁移时,访问控制策略随其迁移;

    应允许云服务客户设置不同虚拟机之间的访问控制策略。

    入侵防范

    应能检测虚拟机之间的资源隔离失效,并进行告警;

    应能检测非授权新建虚拟机或者重新启用虚拟机,并进行告警;

    应能够检测恶意代码感染及在虚拟机间蔓延的情况,并进行告警。

    镜像和快照保护

    应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务;

    应提供虚拟机镜像、快照完整性校验功能,防止虚拟机镜像被恶意篡改;

    应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被访问。

    数据完整性和保密性

    应确保云服务客户数据、用户个人信息等存储于中国境内,如需出境应遵循国家相关规定;

    应确保只有云服务客户授权下,云服务商或第三方才具有云服务客户数据的管理权限;

    应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性,并在检测到完整性受到破坏时采取必要的恢复措施;

    应支持云服务客户部署密钥管理解决方案,保证云服务客户自行实现数据的加解密过程。

    数据备份恢复

    云服务客户应在本地保存其业务数据的备份;

    应提供查询云服务客户数据及备份存储位置的能力;

    云服务商的云存储服务应保证云服务客户数据存在若干个可用副本,各副本之间的内容应保持一致;

    应为云服务客户将业务系统及数据迁移到其他云计算平台和本地系统提供技术手段,并协助完成迁移过程。

    剩余信息保护

    应保证虚拟机所使用的内存和存储空间回收时得到完全清除;

    云服务客户删除业务应用数据时,云计算平台应将云存储中所有副本删除。

    安全管理中心

    集中管控

    应能对物理资源和虚拟资源按照策略做统一管理调度与分配;

    应保证云计算平台管理流量与云服务客户业务流量分离;

    应根据云服务商和云服务客户的职责划分,收集各自控制部分的审计数据并实现各自的集中审计;

    应根据云服务商和云服务客户的职责划分,实现各自控制部分,包括虚拟化网络、虚拟机、虚拟化安全设备等的运行情况的集中监测。

    安全建设管理

    云服务商选择

    应选择安全合规的云服务商,其所提供的云计算平台应为其所承载的业务应用系统提供相应等级的安全保护能力;

    应在服务水平协议中规定云服务的各项服务内容和具体技术指标;

    应在服务水平协议中规定云服务商的权限与责任,包括管理范围、职责划分、访问权限、隐私保护、行为准则、违约责任等;

    应在服务水平协议中规定服务合约到期时,完整提供云服务客户数据,并承诺相关数据在云计算平台上清除;

    应与选定的云服务商签署保密协议,要求其不得泄露云服务客户数据。

    供应链管理

    应保证供应商的选择符合国家有关规定;

    应将供应链安全事件信息或安全威胁信息及时传达给云服务客户;

    应将供应商的重要变更及时传达到云服务客户,并评估变更带来的安全风险,采取措施对风险进行控制。

    安全运维管理

    云计算环境管理

    云计算平台的运维地点应位于中国境内,境外对境内云计算平台实施运维操作应遵循国家相关规定。

     

    展开全文
  • 等级保护二级基本要求》

    千次阅读 2020-07-15 10:00:57
    通过等级保护工作发现单位信息系统存在的安全隐患和不足,进行安全整改之后,提高信息系统的信息安全防护能力,降低系统被各种攻击的风险,维护单位良好的形象。 等级保护是我国关于信息安全的基本政策,国家法律...
  • 通过实施一次的信息安全建设项目,使得信息安全水平达到同时符合ISMS和等级安全保护两个管理标准的要求。 目录 1 获得批准并启动项目 2 建立信息安全方针 3 识别ISMS和等保的安全要求 4 进行安全风险评估及...
  • 针对等级保护三级系统的防护要求,对于应用安全涉及的“身份鉴别”、“访问控制”、“安全审计”、“剩余信息保护”、“通信完整性”、“通信保密性”、“抗抵赖”、“软件容错”以及“资源控制”等控制点进行评分,...
  • 信息系统安全等级保护基本要求——技术要求   一、技术要求: 标记说明:保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求(简记为S);保护系统连续正常的运行,免受对系统的...
  • 一级现在基本没人会去提及,所以我这里主要说下等级保护二级和三级的详细要求及差异分析,总共分为五大项:物理安全,网络安全,主机安全,应用安全,数据安全;管理制度这里没有说明,如有需要可以继续做相关提问;...
  • 等级保护三级基本要求

    千次阅读 2020-07-20 11:00:27
    这几年,互联网金融飞速发展,平台因信息安全不过关使得...信息系统安全等级保护基本要求 1 范围 本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息
  • 标记说明:保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求(简记为S);保护系统连续正常的运行,免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求(简记为A);...
  • 国家信息安全等级保护制度第三级要求 1  第三级基本要求 1.1  技术要求 1.1.1  物理安全 1.1.1.1  物理位置的选择 (G3) 本项要求包括 : a) 机房和办公场地应选择在...
  • 等级保护2.0-大数据安全要求梳理

    千次阅读 2020-05-24 09:35:14
    GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求 GB/T 25070-2019 信息安全技术 网络安全等级保护安全设计技术要求 GB/T 37973-2019 信息安全技术 大数据安全管理指南 GB/T 37988-2019 信息安全技术 数据...
  • 来源:http://banshi.beijing.gov.cn/bsfwzy/201711/t20171116_91827.html 转载于:https://blog.51cto.com/zhaoshilei/2313837
  • 备案单位需要提交《信息系统安全等级保护备案表》和《定级系统等级保护定级报告》。 1、填写《信息系统安全等级保护备案表》(以下简称《备案表》),纸质材料,一式两份;包括:《单位基本情况》(表一)、《信息...
  • 第一级 不要求审计功能 第二级 不提供报表生成 第三级 提供统一安全策略 对审计进行设计和管理 1.网络安全 a:应对网络系统中的网络设备运行状况、...d:应对审计记录进行保护,避免受到未预期的删除、修改和覆盖等
  • 三级要求对剩余信息进行保护,通过安全服务方式进行 入侵防范:部署网络入侵检测系统部署终端安全管理系统;部署网络入侵检测系统部署主机入侵检测系统部署终端安全管理系统进行补丁及时分发;三级要求对重要服务器...
  • 全国网络安全等级保护测评机构推荐目录 来源:admin发布日期:2021-03-... 公安部信息安全等级保护评估中心 北京市海淀区阜成路58号新洲商务大厦7层 李升 13331101888 010-51607592 010-88152669..
  • 安全建设整改工作是开展等级保护工作的核心和落脚点。无论是定级、测评还是监督检查工作最终都要服从和服务于安全建设整改工作。接下来小编将整改工作的目标、内容、方法、流程、要求等内容列出来,供大家参考。  ...
  • 第一次提出等级保护概念,要求对信息系统分等级进行保护 1999 GB17859 国家强制标准发布,信息系统等级保护必须遵循的法规 2005 公安部四大标准 基本要求》 《定级指南》《实施指南》 《测评标准》 2007 公通字[2007...
  • 三级扩展安全要求 安全扩展要求 ... a)应保证云计算平台不承载高千其安全保护等级的业务应用系统;b)应实现不同云服务客户虚拟网络之间的隔离;c)应具有根据云服务客户业务需求提供通信传输...
  • 信息安全等级保护管理办法》第十五条。已运营(运行)或新建的第二级以上信息系统,应当在安全保护等级确定后30日内,由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。 隶属于中央的在京单位,其跨...
  • a) 应保证云计算平台不承载高千其安全保护等级的业务应用系统; b) 应实现不同云服务客户虚拟网络之间的隔离; c) 应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力; d) 应具有...
  • 11、个人信息保护 a)应仅采集和保存业务必需的用户个人信息; b)应禁止未授权访问和非法使用用户个人信息。 安全管理中心  1、系统管理 a)应对系统管理员进行身份鉴别,只允许其通过特定的...
  • 风险:无法对机房内活动进行有效监控记录,且无法在发生安全事件后对之前机房内的活动进行追溯查询。当以上情况同时存在时,将会被判定为高风险。 建议:建议机房部署防盗报警系统或设置有专人值守的视频监控系统,...
  • 等级测评机构——是指具备本规范的基本条件,经能力评估和审核,由省级以上信息安全等级保护工作协调(领导)小组办公室推荐,从事等级测评工作的机构。   8月20日,公安部发布了最新《全国等级保护测评机构推荐...
  • 网络安全等级保护基本要求通用要求技术部分与信息安全等级保护基本要求技术部分的对比(以三级S3A3G3为例) 网络安全等级保护基本要求通用要求技术部分与信息安全等级保护基本要求技术部分结构由原来的五个层面:...
  • 等级保护测评策略建议整改措施

    千次阅读 2019-09-29 13:29:23
    2、查看有敏感标记的重要信息资源是否依据访问策略设置了严格的访问权限。    建议整改:    暂无 安全审计 •   a)审计范围应覆盖到服务器上的每个操作系统用户和数据库用户; •   b)审计内容应包括...
  • b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;     c) 应对机房划分区域进行管理,区域和区域之间设置隔离防火措施。     8.1.1.6 防水和防潮 a) 应采取...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 16,262
精华内容 6,504
关键字:

信息等级保护查询