精华内容
下载资源
问答
  • 系统安全保障方案

    2019-02-20 17:30:47
    标书中要求的系统安全保障方案附件
  • 安全保障方案.docx

    2020-01-11 11:08:57
    安全保障方案,内容包括: 1.运维管理的支持机制 2.应急处理机制 3.系统安全保障措施 (1) 建立硬件、网络、系统、应用及业务软件日常维护流程机制; (2) 建立故障应急处理流程机制; (3) 建立备份恢复保障机制...
  • 信息安全保障指标体系及评价方法 关键信息基础设施安全保障指标体系 华为安全重保服务七套件(重大保障服务方案) 重要时期安全保障服务技术白皮书 ...深圳大运会安全保障方案等重大节假日安全保障方案集合
  • 项目交付时,必须提供的系统安全保障方案,大家软件项目交付时可以参考
  • 软件系统安全保障方案,包括目录结构和一些通用性的描述。目录结果: 安全保障方案 1 目 录 1 1、 保障方案概述 3 2、 系统安全目标与原则 3 2.1 安全设计目标 3 2.2 安全设计原则 3 3、 系统安全需求分析 4 ...
  • 系统安全保障方案.doc

    2019-06-25 14:12:10
    系统安全保障方案,主要是提供都需要什么资质证书,系统运行在网络系统上,依托内外网向系统相关人员提供相关信息与服务,系统中存在着大量非公开信息,如何保护这些信息的机密性和完整性、以及系统的持续服务能力尤...
  • 红蓝对抗护网行动HW完整安全保障解决方案,包括HW行动背景介绍、整体框架及流程、防守保障思路、备战阶段保障方案、迎战阶段保障方案、临战阶段保障方案、实战阶段保障方案、总结阶段保障方案等内容。
  • 信息安全保障技术体系规划 信息安全保障管理体系规划 信息安全保障运维体系规划
  • 票代码:002439 7启丽星辰 重大事件信息安全保障 方案编制与实施指导 潘柱廷 启明星辰首席战略官 中国计算机学会理事 云安全联盟中国区理事 南方电网信息安全培训 票代码:002439 7启丽星辰 重大事件 信息安全保障 ...
  • 信息系统安全保障体系(安全管理体系、安全技术体系、安全运维体系)的规划设计方案
  • 政务云应用平台 安全保障体系方案 目录 1 基础设施支撑平台建设方案 2 1.1 电子政务云平台介绍 2 1.2 电子政务云平台服务目录 3 1.3 安全保障体系 6 2 安全保障体系建设方案 8 2.1 安全保障体系总体设计 8 2.2 安全...
  • 北京正通汇智科技有限公司PAGE II 政务云应用平台 安全保障体系方案 目录 TOC \o "1-2" \h \z \u 1 基础设施支撑平台建设方案 2 1.1 电子政务云平台介绍 2 1.2 电子政务云平台服务目录 3 1.3 安全保障体系 6 2 安全...
  • 信息安全保障体系规划方案

    万次阅读 多人点赞 2018-06-21 17:04:59
    本文内容为信息安全技术体系、运维体系、管理体系的评估和规划,是信息安全保障体系的主体。一、 概述1.1引言本文基于对XX公司信息安全风险评估总体规划的分析,提出XX公司信息安全技术工作的总体规划、目标以及基本...

    本文转载自公众号爱方案(ID:ifangan)。

    本文内容为信息安全技术体系、运维体系、管理体系的评估和规划,是信息安全保障体系的主体。

    一、 概述

    1.1引言

    本文基于对XX公司信息安全风险评估总体规划的分析,提出XX公司信息安全技术工作的总体规划、目标以及基本原则,并在此基础上从信息安全保障体系的视角描绘了未来的信息安全总体架构。

    本文内容为信息安全技术体系、运维体系、管理体系的评估和规划,是信息安全保障体系的主体。

    1.2 背景

    1.2.1 XX行业相关要求

    国家XX行业总局一直以来十分重视信息安全管理工作,先后下发了涉及保密计算机运行、等级保护定级等多个文件,下发了《XX行业信息安全保障体系建设指南》,指南从技术、管理、运维三个方面对安全保障提出了建议,如下图所示。

    1.2.2国家等级保护要求

    等级保护工作作为我国信息安全保障工作中的一项基本制度,对提高基础网络和重要信息系统安全防护水平有着重要作用,在《信息系统安全等级保护基本要求》中对信息安全管理和信息安全技术也提出了要求,如下图所示。

    1.2.3三个体系自身业务要求

    在国家数字XX行业政策的引导下,近年来信息系统建设日趋完善,业务系统对信息系统的依赖程度逐渐增加,信息系统的重要性也逐渐提高,其安全保障就成为了重点。信息系统的重要组成部分包括MES系统、ERP系统、网站系统、工商协同营销系统、LIMS系统、OA系统及生产系统等。企业生产已经高度依赖于企业的信息化和各信息系统。

    信息系统现阶段还无法达到完全的自动化和智能化运行。因此需要各级技术人员对信息系统进行运行和维护。

    在整个信息系统运行的过程中,起主导作用的仍然是人,是各级管理员。设备的作用仍然仅仅停留在执行层面。因此信息系统的稳定运行的决定因素始终都在于人员的操作。

    信息安全运维体系的作用是在安全管理体系和安全技术体系的运行过程中,发现和纠正各类安全保障措施存在的问题和不足,保证它们稳定可靠运行,有效执行安全策略规定的目标和原则。

    当运行维护过程中发现目前的信息安全保障体系不能满足本单位信息化建设的需要时,就可以对保障体系进行新的规划和设计。从而使新的保障体系能够适应企业不断发展和变化的安全需求。这也仍遵循和完善了PDCA原则。

    1.3三个体系规划目标

    1.3.1 安全技术和安全运维体系规划目标

    建立技术体系的目的是通过使用安全产品和技术,支撑和实现安全策略,达到信息系统的保密、完整、可用等安全目标。按照P2DR2模型,行业信息安全技术体系涉及信息安全防护、检测、响应和恢复四个方面的内容:

    1、防护:通过访问控制、信息系统完整性保护、系统与通信保护、物理与环境保护等安全控制措施,使信息系统具备比较完善的抵抗攻击破坏的能力。

    2、检测:通过采取入侵检测、漏洞扫描、安全审计等技术手段,对信息系统运行状态和操作行为进行监控和记录,对信息系统的脆弱性以及面临的威胁进行评估,及时发现安全隐患和入侵行为并发出告警。

    3、响应:通过事件监控和处理工具等技术措施,提高应急处理和事件响应能力,保证在安全事件发生后能够及时进行分析、定位、跟踪、排除和取证。

    4、恢复:通过建立信息系统备份和恢复机制,保证在安全事件发生后及时有效地进行信息系统设施和重要数据的恢复。

    1.3.2安全管理体系规划目标

    本次项目通过风险评估对XX公司自身安全管理现状进行全面了解后,对信息安全管理整体提出以下目标:健全信息安全管理组织,建立信息安全专业服务团队,建立完善的信息安全风险管理流程,完善信息安全制度与标准,建立规范化的流程。

    1.4技术及运维体系规划参考模型及标准

    1.4.1参考模型

    目前安全模型已经从以前的被动保护转到了现在的主动防御,强调整个生命周期的防御和恢复。PDR模型就是最早提出的体现这样一种思想的安全模型。所谓PDR模型指的就是基于防护(Protection)、检测(Detection)、响应(Reaction)的安全模型。上个世纪90年代末,ANS联盟在PDR模型的基础上建立了新的P2DR模型。该模型是可量化、可由数学证明、基于时间的、以PDR为核心的安全模型。这里P2DR2是策略(Policy)、防护(Protection)、检测(Detection)、响应(Response)、恢复(Recovery)的缩写。

    • 策略(Policy)

    策略是P2DR模型的核心,所有的防护、检测、响应都是依据策略。它描述了系统中哪些资源要得到保护,以及如何实现对它们的保护等。

    • 防护(Protection)

    防护是主动防御的防御部分,系统的安全最终是依靠防护来实现的。防护的对象涵盖了系统的全部,防护手段也因此多种多样。

    • 检测(Detection)

    检测是动态响应和加强防护的依据。通过不间断的检测网络和系统,来发现威胁。

    • 响应(Response)

    响应是主动防御的实现。根据策略以及检测到的情况动态的调整防护,达到主动防御的目的。

    随着技术的进步,人们在P2DR模型以后又提出了APPDRR模型,即在P2DR模型中加入恢复(Recovery)手段。这样一旦系统安全事故发生了,也能恢复系统功能和数据,恢复系统的正常运行。

    1.4.2参考标准

    主要参考标准:

    《信息保障技术框架v3.1》(IATF) 美国国家安全局

    《信息系统安全管理指南》(ISO 13335) 国际标准化组织

    《信息安全风险评估指南》(国标审议稿)中华人民共和国质监总局

    其它参考标准:

    AS/NZS 4360: 1999 风险管理标准

    ISO/IEC 17799:2005 /BS7799 Part 1

    ISO/IEC 27001:2005 /BS7799 Part 2

    ISO/IEC 15408(CC)

    GB17859-1999

    等级保护实施意见(公通字[2004]66号)

    《计算机信息系统安全保护等级划分准则》GB 17859

    行业参考标准:

    《XX行业行业信息安全保障体系建设指南》

    1.5管理体系规划参考模型及标准

    1.5.1国家信息安全标准、指南

    1. GB/T 20274—2006 信息系统安全保障评估框架
    2. GB/T 19715.1—2005 信息技术—信息技术安全管理指南第1部分:信息技术安全概念和模型
    3. GB/T 19715.2—2005 信息技术—信息技术安全管理指南第2部分:管理和规划信息技术安全
    4. GB/T 19716—2005 信息技术—信息安全管理实用规则

    1.5.2国际信息安全标准

    1. ISO/IEC 27001:2005信息安全技术 信息系统安全管理要求
    2. ISO/IEC 13335—1: 2004 信息技术 信息技术安全管理指南 第1部分:信息技术安全概念和模型
    3. ISO/IEC TR 15443—1: 2005 信息技术安全保障框架 第一部分 概述和框架
    4. ISO/IEC TR 15443—2: 2005信息技术安全保障框架 第二部分 保障方法
    5. ISO/IEC WD 15443—3 信息技术安全保障框架 第三部分 保障方法分析
    6. ISO/IEC PDTR 19791: 2004 信息技术 安全技术 运行系统安全评估

    二、 技术体系建设规划

    2.1技术保障体系规划

    2.2.1设计原则

    技术保障体系的规划遵循一下原则:

    • 先进性原则

    采用的技术和形成的规范,在路线上应与当前世界的主流发展趋势相一致,保证依据规范建成的XX公司网络安全系统具有先进性和可持续发展性。

    • 实用性原则

    具备多层次、多角度、全方位、立体化的安全保护功能。各种安全技术措施尽显其长,相互补充。当某一种或某一层保护失效时,其它仍可起到保护作用。

    • 可靠性原则

    加强网络安全产品的集中管理,保证关键网络安全设备的冷热备份,避免骨干传输线路的单点连接,保证系统7*24小时不间断可靠运行。

    • 可操作性原则

    根据XX公司风险评估结果,制定出各具特色、有较强针对性和可操作性的网络安全技术保障规划,适用于XX公司信息安全的规划、建设、运行、维护和管理。

    • 可扩展性原则

    规范应具有良好的可扩展性,能适应安全技术的快速发展和更新,能随着网络安全需求的变化而变化,网络安全保护周期应与整个网络的工作周期相同步,充分保证投资的效益。

    2.1.2技术路线

    • 分级保护的思想

    遵照《XX行业行业信息安全保障体系建设指南》、《关于信息安全等级保护工作的实施意见》的要求,结合XX公司网络应用实际,XX公司网络的信息安全防护措施需要满足安全等级保护要求,必须按照确定的安全策略,整体实施安全保护。

    • 分层保护的思想

    按照XX公司业务承载网络的核心层、接入(汇聚)层、接入局域网三个层次,根据确定的安全策略,规范设置相应的安全防护、检测、响应功能,利用虚拟专用网络(例如MPLS VPN、IPSec VPN、SSL VPN)、公钥基础设施/授权管理基础设施(PKI/PMI)、防火墙、在线入侵抵御、入侵检测、防病毒、强审计、冷热备份、线路冗余等多种安全技术和产品,进行全方位的安全保护。

    • 分域保护的思想

    控制大型网络安全的另一种思想是把网络划分成不同的逻辑网络安全域,每一个网络安全域由所定义的安全边界来保护。综合考虑信息性质、使用主体等要素,XX公司网络划分为计算域、支撑域、接入域、基础设施域四种类型安全域。

    通过在相连的两个网络之间采用访问控制措施来进行网络的隔离和连接服务。其中,隔离安全服务包括身份认证、访问控制、抗抵赖和强审计等;连接安全服务包括传输过程中的保密、完整和可用等。

    • 动态安全的思想

    动态网络安全的思想,一方面是要安全体系具备良好的动态适应性和可扩展性。威胁和风险是在不断变化的,安全体系也应当根据新的风险的引入或风险累积到一定程度后,适时进行策略调整和体系完善;另一方面是在方案的制定和产品的选取中,注重方案和产品的自愈、自适应功能,在遭遇攻击时,具有一定的自动恢复和应急能力。

    2.2信息安全保障技术体系规划

    2.2.1安全域划分及网络改造

    安全域划分及网络改造是系统化安全建设的基础性工作,也是层次化立体化防御以及落实安全管理政策,制定合理安全管理制度的基础。此过程保证在网络基础层面实现系统的安全防御。

    目标规划的理论依据

    • 安全域简介

    安全域是指同一系统内有相同的安全保护需求,相互信任,并具有相同的安全访问控制和边界控制策略的子网或网络,相同的网络安全域共享一样的安全策略。

    相对以上安全域的定义,广义的安全域概念是指:具有相同和相似的安全要求和策略的IT要素的集合。这些IT要素包括但不仅限于:物理环境、策略和流程、业务和使命、人和组织、网络区域、主机和系统……

    • 总体架构

    如下图所示:安全域的划分如下:

    本次建议的划分方法是立体的,即:各个域之间不是简单的相交或隔离关系,而是在网络和管理上有不同的层次。

    网络基础设施域是所有域的基础,包括所有的网络设备和网络通讯支撑设施域。

    网络基础设施域分为骨干区、汇集区和接入区。

    支撑设施域是其他上层域需要公共使用的部分,主要包括:安全系统、网管系统和其他支撑系统等。

    计算域主要是各类的服务器、数据库等,主要分为一般服务区、重要服务区和核心区。

    边界接入域是各类接入的设备和终端以及业务系统边界,按照接入类型分为:互联网接入、外联网接入、内联网接入和内网接入。

    建设规划内容

    一、边界接入域

    边界接入域的划分

    边界接入域的划分,根据XX公司公司的实际情况,相对于ISO 13335定义的接入类型,分别有如下对应关系:

    ISO 13335

    实际情况

    组织单独控制的连接

    内部网接入(终端接入,如办公网);业务边界(如核心服务边界)

    公共网络的连接

    互联网接入(如Web和邮件服务器的外部接入,办公网的Internet接入等)

    不同组织间的连接

    外联网接入(如各个部门间的接入等)

    组织内的异地连接

    内联网接入(如XXX单位接入等其他部门等通过专网接入)

    组织内人员从外部接入

    远程接入(如移动办公和远程维护)

    边界接入域威胁分析

    由于边界接入域是XX公司公司信息系统中与外部相连的边界,因此主要威胁有:

    黑客攻击(外部入侵)

    恶意代码(病毒蠕虫)

    越权(非授权接入)

    终端违规操作

    ……

    针对边界接入域的主要威胁,相应的防护手段有:

    访问控制(如防火墙)用于应对外部攻击

    远程接入管理(如VPN)用于应对非授权接入

    入侵检测与防御(IDS&IPS)用于应对外部入侵和蠕虫病毒

    恶意代码防护(防病毒)用于应对蠕虫病毒

    终端管理(注入控制、补丁管理、资产管理等)对终端进行合规管理

    二、计算域

    计算域的划分

    计算域是各类应用服务、中间件、大机、数据库等局域计算设备的集合,根据计算环境的行为不同和所受威胁不同,分为以下三个区:

    一般服务区

    用于存放防护级别较低(资产级别小于等于3),需直接对外提供服务的信息资产,如办公服务器等,一般服务区与外界有直接连接,同时不能够访问核心区(避免被作为攻击核心区的跳板);

    重要服务区

    重要服务区用于存放级别较高(资产级别大于3),不需要直接对外提供服务的信息资产,如前置机等,重要服务区一般通过一般服务区与外界连接,并可以直接访问核心区;

    核心区

    核心区用于存放级别非常高(资产级别大于等于4)的信息资产,如核心数据库等,外部对核心区的访问需要通过重要服务区跳转。

    计算域的划分参见下图:

    重要服务区

    重要服务区用于存放级别较高(资产级别大于3),不需要直接对外提供服务的信息资产,如前置机等,重要服务区一般通过一般服务区与外界连接,并可以直接访问核心区;

    核心区

    核心区用于存放级别非常高(资产级别大于等于4)的信息资产,如核心数据库等,外部对核心区的访问需要通过重要服务区跳转。

    计算域的划分参见下图:

    图 2_3计算域划分图

    计算域威胁分析

    由于计算域处于信息系统的内部,因此主要威胁有:

    • 内部人员越权和滥用
    • 内部人员操作失误
    • 软硬件故障
    • 内部人员篡改数据
    • 内部人员抵赖行为
    • 对外服务系统遭受攻击及非法入侵

    针对计算域主要是内部威胁的特点,主要采取以下防护手段:

    • 应用和业务开发维护安全
    • 基于应用的审计
    • 身份认证与行为审计
    • 同时也辅助以其他的防护手段:
    • 对网络异常行为的检测
    • 对信息资产的访问控制

    三、支撑设施域

    支撑设施域的划分

    图 2_4支撑基础设施域划分图

    如上图所示,将网络管理、安全管理和业务运维(业务操作监控)放置在独立的安全域中,不仅能够有效的保护上述三个高级别信息系统,同时在突发事件中也有利于保障后备通讯能力。

    其中,安全设备、网络设备、业务操作监控的管理端口都应该处于独立的管理VLAN中,如果条件允许,还应该分别划分安全VLAN、网管VLAN和业务管理VLAN。

    支撑设施域的威胁分析

    支撑设施域是跨越多个业务系统和地域的,它的保密级别和完整性要求较高,对可用性的要求略低,主要的威胁有:

    网络传输泄密(如网络管理人员在网络设备上窃听业务数据)

    非授权访问和滥用(如业务操作人员越权操作其他业务系统)

    内部人员抵赖(如对误操作进行抵赖等)

    针对支撑设施域的威胁特点和级别,应采取以下防护措施:

    带外管理和网络加密

    身份认证和访问控制

    审计和检测

    四、网络基础设施域

    网络基础设施域的划分

    网络基础设施域的威胁分析

    主要威胁有:

    • 网络设备故障
    • 网络泄密
    • 物理环境威胁

    相应的防护措施为:

    • 通过备份、冗余确保基础网络的可用性
    • 通过网络传输加密确保基础网络的保密性
    • 通过基于网络的认证确保基础网络的完整性

    2.2.2现有信息技术体系描述

    XX公司现有网络拓扑

    XX公司网络结构脆弱性评估

    1、网络结构层次不清晰

    当前网络骨干区域,基本形成以两台C6509为核心,多台C2970/C2950等为接入的架构,网络骨干设备性能优异,扩展能力较强。但部分区域仍然存在结构层次不清晰、不合理之处。

    远程接入区域,包括XXX单位通过专线直接接入到核心交换机C6509上,其它的上联国家局、XX公司局等专线链路也直接接入到核心交换机C6509上,除国家局配置有防火墙外,其它连接均未经过任何汇聚或访问控制设备。核心交换机C6509同时兼具上述多条专线接入设备的任务,网络逻辑层次结构较为模糊。

    2、网络单点故障

    当前网络核心层为冗余设备,下联接入层交换为冗余线路,其它对外连接均为单设备和单线路连接,存在网络单点故障隐患。

    各远程接入链路均为一条电信专线,没有其它冗余的广域网链路,存在远程接入链路单点故障。

    外网服务器区的Web和Mail服务器的互联网连接和访问均为单线路,存在单点故障。

    3、网络安全域划分不明

    公司大多数内网服务器系统分布在XX网段,没有进一步的VLAN划分及其它防护措施的隔离。

    ERP、协同办公、营销等重要系统混杂在一起,与其它服务器都部署在同一个区域,非常不利于隔离防护及后期的安全规划建设。

    下属车间存在生产网与办公网络混用的情况。各生产网与办公网未严格隔离,未整合边界,未实施集中安全防护。

    业务维护人员、网络管理人员、安全管理人员以及第三方运维人员,未划分专门的管理支撑域。当前主要根据办公物理位置,各自接入到办公网中,未与普通办公人员网络区域隔离。

    远程接入区域,根据对端可信度及管理职责等,可以划分为四类,1、国家XX行业;2、省商业公司链路;3、XXX单位接入。当前未进行分类隔离,统一安全策略。

    4、部分节点区域缺乏必要安全防护措施

    内部终端用户访问内部服务器、互联网络没有有效的控制行为;能够访问互联网的终端不能有效控制访问带宽并进行行为审计。

    远程接入XXX单位专线直接接入到核心交换机Cisco3845上,两端均未部署防火墙实施访问控制。XXX单位用户可以任意访问到总部网络,任意访问内网服务器。

    全网缺乏一套集中的安全运营管理中心,当前网络设备、安全设备、主机及业务系统的日志及安全运行状况监控,仅由各自维护人员手工操作,直接登录设备检查分析。

    内网服务器区、生产服务器区缺乏业务审计设备,无法记录关键的业务、维护操作行为。

    5、现有的安全技术防护手段

    在互联网出口部署了防火墙两台,同时设置访问规则对Web服务器和内网用户对互联网的访问进行网络层控制;

    在核心交换机上部署了入侵检测系统,对核心交换上的数据信息进行入侵行为的检测;

    在邮件系统部署了防垃圾邮件系统,可对垃圾邮件进行过滤;

    内网部署了趋势的网络防病毒系统,

    内网部署了内网管理系统,可对内部网络终端进行接入管理、主机维护管理、补丁管理、主机行为审计等。

    2.3技术体系规划主要内容

    2.3.1网络安全域改造建设规划

    改造建议说明:

    1、新增管理支撑域,作为整个网络的设备和系统管理中心。

    2、新增汇聚层网络设施域,部署四台三层交换机,核心部件采用冗余配置,作为整个网络的汇聚层,这样既便于接入区和服务区的访问控制,又将生产区和办公区进行了区分,并分担了核心交换机的负担。

    3、在核心交换和新增的汇聚交换间部署防火墙进行服务域的访问控制;

    4、将原有的服务器使用VLAN方式划分为核心服务域和一般服务域;

    5、更换互联网出口防火墙为安全网关,采用双机冗余方式部署,并启用IPS检测、AV检测功能,为对外提供服务的WEB和MAIL服务器制定保护策略;

    6、在互联网安全网关后增加上网行为管理系统,采用双机冗余方式部署,对访问互联网的流量和访问进行控制和审计;

    7、将互联网出口替换下的防火墙部署到单独划分的财务服务域前端,进行必要的访问控制保护;

    8、将XXX单位连接线路由原来的连接核心C6509改为连接新增加的汇聚层防火墙上,增加外部访问的访问控制。

    2.3.2网络安全设备建设规划

    网络安全设备分为边界保护类,入侵检测/防御类,终端保护等多种。

    网络安全产品的类型是由网络安全技术决定的,为了实现全面的安全防护,以不同的实体出现的安全设备要在技术上覆盖所有的安全领域,也就是所有安全设备功能的总和在技术层面应该能够防御目前网络环境下所有安全威胁的总和。

    安全产品虽然不是安全防护体系的决定因素,却是安全防御体系的基石。是实现系统化全方位网络安全防护的必要条件。

    在充分分析目前XX公司已经部署的网络安全设备的前提下,又结合了风险评估的结果,以及安全域划分和网络改造的具体需求,得出了最终需要新增的网络安全设备需求。

    此过程保证在设备层面实现安全技术体系。部署完成后,XX公司所有安全设备防护功能的总和在技术层面上将能够满足防护和应对目前已知安全威胁。同时满足《XX行业行业信息安全保障体系建设指南》中在技术体系建设方面对网络安全部分的要求。

    结合规划的安全域,在新的安全环境下,规划的安全设备部署示意图如下:

    一、防火墙设备

    部署位置

    防火墙部署在核心层和汇聚层之间。如下图所示。

    安全功能

    防火墙系统是进行安全域边界防护的有效手段。需要部署防火墙将网络分割成不同安全区域,并对核心业务系统形成纵深保护体系。在新增的汇聚网络层和核心网络层之间冗余部署四台防火墙设备,实现生产接入域、办公接入域和其他区域访问的控制,生产接入域和办公接入域之间的访问控制。通过此次安全域的划分和网络改造,使防火墙主要可以起到如下几类作用:

    限制各个接入网络对网络设备的访问。

    限制接入网络穿过的源。

    限制接入网络能访问的目的。

    限制接入网络穿过的应用端口。

    限制能提供的应用端口。

    二、安全网关设备

    部署位置

    一体化安全网关部署在互联网出口处,做互联网边界综合防护。如下图所示。

    实现安全功能:

    访问控制

    IP地址过滤、MAC地址过滤、IP+MAC绑定、用户认证、流量整形、连接数控制等

    IPS防御体系

    通过继承的IPS功能,精确抵御黑客攻击、蠕虫、木马、后门;抑制间谍软件、灰色软件、网络钓鱼的泛滥;并可有效防止拒绝服务攻击。

    网络防病毒

    能够有效抵御文件感染病毒、宏病毒、脚本病毒、蠕虫、木马、恶意软件、灰色软件等。

    抗DoS攻击

    采用特征控制和异常控制相结合的手段,有效保障抗拒绝服务攻击的准确性和全面性,阻断绝大多数的DoS攻击行为。

    三、上网行为管理设备

    部署位置

    上网行为管理部署在互联网出口处。如下图所示。

    安全功能:

    P2P流量控制

    对P2P的应用加以控制,例如提供最大带宽限制、保证带宽、带宽租借、应用优先级等一系列带宽管理功能,最终可实现禁止使用P2P软件或限制P2P软件的可用带宽,从而达到控制P2P流量的目标,将宝贵的、有限的带宽资源保留给组织中关键的应用和业务。

    服务分级

    服务分级是一种带宽管理的理解方式。也可以理解为某种程度上QoS。针对不同访问需求的用户也可以进行服务的分级处理,对带宽要求高的人员可以获得较多的带宽,从而保证其访问的需求。

    关键应用保障

    目前XX公司在应用方面已经建立基于互联网的Web和Mail系统,需要在应用层加以优先保证。上网行为管理设备可以基于应用的重要程度进行带宽资源的合理分配,从而保证重要的、时效性高的应用能够获得较多的带宽,最终能够保障关键应用的正常运行。

    四、业务安全审计设备

    部署位置

    网络安全审计设备主要部署在核心业务区域,按照XX公司安全域的规划,需要部署业务审计系统的位置为服务域(核心服务域+一般服务域),生产服务域(卷包中控、物流中控、制丝中控、动力中控),重点审计内容是人为通过网络对各服务器系统、数据的访问行为审计和控制,部署示意图如下:

    服务域审计系统部署示意图

    生产服务域审计系统部署示意图

    安全功能

    满足合规要求

    目前,越来越多的单位面临一种或者几种合规性要求。XX公司面也面临着合规性的要求。一是等级保护的要求;二是行业规范的要求。在国烟办的147号文件中,明确要求部署网络审计设备。

    有效减少核心信息资产的破坏和泄漏

    对企业的业务系统来说,真正重要的核心信息资产往往存放在少数几个关键系统上(如数据库服务器、应用服务器等),通过使用网络安全审计系统,能够加强对这些关键系统的审计,从而有效地减少对核心信息资产的破坏和泄漏。

    追踪溯源,便于事后追查原因与界定责任

    一个单位里负责运维的部门通常拥有目标系统或者网络设备的最高权限(例如掌握DBA帐号的口令),因而也承担着很高的风险(误操作或者是个别人员的恶意破坏)。由于目标系统不能区别不同人员使用同一个帐号进行维护操作,所以不能界定维护人员的真实身份。试用网络安全审计系统提供基于角色的审计,能够有效地区分不同维护人员的身份,便于事后追查原因与界定责任。

    直观掌握业务系统运行的安全状况

    业务系统的正常运行需要一个安全、稳定的网络环境。对管理部门来说,网络环境的安全状况事关重大。网络安全审计系统提供业务流量监控与审计事件统计分析功能,能够直观地反映网络环境的安全状况。

    实现独立审计与三权分立,完善IT内控机制

    从内控的角度来看,IT系统的使用权、管理权与监督权必须三权分立。网络安全审计系统基于网络旁路监听的方式实现独立的审计与三权分立,完善了IT内控机制。

    五、漏洞扫描设备

    部署位置

    漏洞扫描系统部署在管理支撑域,通过一个二层接入交换机接入到核心交换机,示意图如下图所示:

    安全功能

    通过对网络设备,操作系统,应用系统的扫描,有效了解系统弱点,为实施安全防护方案和制定安全管理策略提供依据和参考。

    制定周期性扫描计划,实现周期性的安全自评,为有效的风险管理提供参考和支持。

    2.3.3 CA认证体系建设

    现状

    XX公司目前暂无CA认证系统,但按照国家总局的统一建设要求,已经将CA认证系统作为即将开始的项目。

    建设规划目标

    通过建设CA认证体系,为业务应用系统提供稳定可靠的信息安全服务,切实保障系统使用人员身份的真实性、信息传输的保密性、数据交换的完整性、发送信息的不可否认性,为信息化建设和发展奠定安全基础。

    建设规划内容

    CA认证体系平台建设

    按照《XX行业行业CA认证体系建设方案》规范,XX公司行业CA认证体系项目由数字证书签发服务平台标准版、数字证书应用支撑平台和数字证书系综合监管平台组成,

    本次建设的企业级数字证书签发服务平台标准版,主要建设内容包括CA、RA、KMC系统;数字证书应用支撑服务平台,主要建设内容包括:签名服务器、SSL安全代理服务器、身份认证系统、时间戳服务器;数字证书综合监管平台,主要建设内容包括:数字证书备案系统、数字证书安全审计系统。

    CA认证体系应用建设

    1、 应用系统身份认证

    利用CA认证体系同现有应用系统的身份认证方式相结合,针对重要业务系统或重要岗位,进行身份验证,保留登录记录,落实责任,方便管理。

    2、 综合应用平台单点登录

    对已建设的信息系统进行整合和数据交流,并提供统一身份验证平台,实行信息门户单点登录。CA认证体系建设和该平台相结合,使单点登录系统更安全,并便于管理。

    3、 远程VPN访问身份认证

    由于营销人员等分布全国各地,需要远程访问公司服务器。CA认证系统和VPN远程访问控制相结合,更能保障身份唯一性,并大幅提高互联网访问的安全性。

    2.3.4数据安全保障

    一、建设规划目标

    1、知识产权保障

    通过部署电子文档安全系统,使得企业成为电子数据的真正所有者,保证企业知识产权。有效提高企业在市场上的竞争力。

    2、电子文档管理流程优化

    通过部署电子文档安全系统,优化文档安全管理工作的效率,从前需要人工审核的部门由计算机网络取代,提高了工作效率。同时,在服务器上备份所有的文件审查日志。数据的完整性、可靠性都得到了极大的提升,也减免了传统的纸质备份保密资料给企业带来的成本。

    二、建设规划内容

    1、建议部署结构

    在进行文档保护系统部署结构时,考虑到必须保证业务的高可用性。因此,采用了双服务端热备设计,此举能够保证,在一台服务器出现故障的时候,另一台会接管故障服务器的工作,保证业务的可用性。

    2、建议权限划分

    建议根据XX公司用户角色不同,初步将用户权限规划为如下:

    离线功能

    加解密功能

    日志记录

    用途

    记录对文件的操作

    普通办公PC

    办公笔记本电脑(出差)

    可选

    家用笔记本电脑

    可选

    家用PC(员工在家办公)

    仅阅读之用

    针对不同的用户,可以随时灵活的变更权限,保证安全性和易用性两不误。

    3、系统使用

    在正常使用的过程中,最终用户一般感受不到电子文档的存在,除非用户需要:

    将文件解密;

    带电脑离开公司的网络环境;

    希望产生的文档不加密;

    需要把机密文档中的文字复制到特定的网站。

    2.3.5终端安全管理

    XX公司现已经部署了一套综合的终端安全管理系统,实现了对网络终端进行主动的管理和控制、补丁分发、强制安全策略、远程帮助等主要功能。通过该系统,实现终端主动防护能力和有效的管理,形成整体的安全准入控制体系。

    2.3.6 备份与恢复

    现状

    目前XX公司还没与建立起行之有效的备份与恢复机制。在网络层,系统层,应用层都涉及到备份与恢复的问题。网络层的备份主要指的设备和线路的冗余。在安全域划分网络改造中已经涉及并考虑的了线路的冗余问题。

    外网通信线路冗余

    按照相关文件的要求,在XX行业技术体系要求中需要建立通信线路冗余。主要是体现在两个方面:

    互联网公共出口的线路冗余。通常做法是选择两家以上的运营商同时接入互联网,增加冗余,降低通讯链路故障风险。

    公司内部广域网的线路冗余,比如和国家局或者天水烟厂之间的通讯链接。通常是租用的SDH专线。可以考虑增加VPN线路作为冗余。在专线故障的时候启用VPN线路应急。

    2.3.7安全运营中心建设

    目前XX公司还未建立安全运行中心。建立安全运营管理中心,使得XX公司的网络安全管理机构能及时准确地获知整个网络安全体系的效果和现状,并且帮助进行正确的决策分析。

    通过安全运营管理中心,将不同位置、不同资产(主机、网络设备和安全设备等)中分散且海量的安全信息进行范式化、汇总、过滤和关联分析,形成基于资产/域的统一等级的威胁与风险管理,并依托安全知识库和工作流程驱动对威胁与风险进行响应和处理。

    2.3.8周期性风险评估及风险管理

    项目目标

    通过周期性的风险评估,发现信息系统存在的安全隐患,以维持公司的整体信息安全水平;

    通过周期性的安全加固增强主机的安全性,减小由于主机漏洞而导致的安全风险。

    项目内容

    XX公司的业务系统长期稳定安全地运行,是XX公司能够提供优质服务的保障。

    由于信息安全的动态性特点,信息安全工作是一个持续的、长期的工作,建议XX公司每年定期请安全顾问进行安全风险评估。通过专业、持续的安全服务来解决信息系统日常运行维护中的安全问题,降低安全风险、提高信息系统安全水平。

    风险评估的范围为XX公司的整个信息系统。

    安全风险评估服务包括但不限于以下对象:物理环境、网络结构、网络服务、主机系统、数据、应用系统、安全系统、安全相关人员、处理流程、安全管理制度、安全策略。

    给出风险评估报告和安全现状报告,系统风险修正措施以及系统安全指导性架构。此项服务可以帮助XX公司了解自身网络安全现状,并根据报告和建议进行投资预算。

    本次已进行的风险评估是实现XX公司信息安全风险管理的重要组成部分。周期性的风险评估是实现P2DR2安全模型的重要机制和组成部分。

    建议每年对XX公司的网络系统进行一次安全风险评估,由于XX公司的网络安全工作目前刚起步,许多工作刚开始,整个XX公司缺乏相关的经验,建议XX公司在三到五年内,聘请一家较有经验的网络安全公司,每年为XX公司提供一次网络安全的风险评估服务。

    3. 运维体系建设规划

    3.1风险评估及安全加固

    3.1.1 风险评估

    此次XX公司安全项目本身已经包含信息系统风险评估部分。详细信息参见风险评估各部分输出文档。

    3.1.2 安全加固

    风险评估是安全加固的前提,风险评估依据资产,威胁,脆弱性的分析得到信息系统各部分面临的安全风险。安全加固则是依据风险评估的结果,为了降低系统风险所采取的措施之一。

    通过对当前系统进行加固操作,修补主机系统、网络设备、数据库、应用和中间件存在的弱点,可以全面提高设备的安全性。降低系统运行风险。

    3.2信息安全运维体系建设规划

    3.2.1机房安全规划

    制定详细的机房环境维护管理流程,安排专门人员进行机房环境的定期维护管理,并做好相关的记录和检查;

    将现有的机房安全管理制度制作标牌悬挂机房内,并监督执行;

    安排机房安全管理人员,并制作标牌悬挂机房内。

    3.2.2资产和设备安全

    资产管理

    对现有资产管理制度进行修订,增加安全管理内容;

    通过一定的服务活动更新资产清单,并增加资产编号的标示标牌;

    通过安全评估活动增加资产定性赋值,完善现有资产管理表格。

    介质管理

    介质管理在XX公司的“信息安全保密管理规定”中已经有明确的规定,后续工作为加强管理的执行;

    对于移动备份介质的存放和管理可在“信息安全保密管理规定”进行一定的修订,确保明确明晰;

    对于介质维修和销毁的规定,可在“信息安全保密管理规定”进行一定的修订,确保明确明晰。

    设备管理

    部署专用设备和软件系统,对设备操作使用进行有效的监管。

    3.2.3网络和系统安全管理

    一、网络安全管理

    1、部署网络漏洞扫描系统,并制定扫描管理规范,定期对网络和服务系统进行扫描,并生成检查报告;

    2、在现有管理的规范上,细化管理流程包含服务变更、授权访问等形成系统的申请、审批、核查流程;

    3、在现有管理规范的基础上,结合后期网络整改的需求制定专门的网络安全管理规范;

    4、根据网络和各业务系统的实际情况,补充详细的管理流程对安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面进行管理;

    5、部署安全运维管理系统和业务审计系统收集各种日志信息,并集中进行存储、管理和分析,为事件处理提供有力支持;

    6、通过按照国家局身份认证系统建设规范和计划,建设XX公司的身份认证系统,实现身份认证和授权管理的补充;

    建议部署内网NTP服务器,并配置所有系统使用NTP服务器进行时间校验和更新;

    7、按照国家局身份认证系统的规范进行建设,可根据身份认证系统的建设进行访问用户的身份认证和授权;

    二、系统安全管理

    1、服务器补丁采取谨慎处理,建议聘请专业安全公司协同应用系统开发厂商对漏洞修补对业务系统的影响进行评估后,对能够修补的补丁进行修正,不能修补的补丁漏洞通过网络访问控制、入侵防御等技术手段将风险控制到可接受范围内;

    2、在网络访问控制方面采用访问控制、入侵防御、业务审计、终端管理相结合的技术手段实现从网络层到应用层的综合防护;

    3、系统自身的管理通过系统管理员进行,访问系统应用的帐号均分配了合适的访问权限;

    4、部署漏洞扫描系统,定期对业务系统进行必要的检查;

    5、细化各类用户的责任、义务和风险,对系统帐户的登记造册、用户名分配、初始口令分配、用户权限及其审批程序、系统资源分配、注销等做出一定规定,并形成有效可行的流程;

    6、部署安全运维管理系统和业务审计系统,对系统自身的各项操作信息进行审计和管理,使之符合于对应的安全管理规定。

    3.2.4监控管理和安全管理中心

    建议部署安全运维管理中心,收集设备完整的各项资源使用信息、访问授权、操作记录、日志信息等并进行综合分析;

    建议部署的安全运维管理中心与已经部署的IT运维管理系统进行接口处理,将安全运维管理中心的安全事件处理自动发送IT运维管理中心进行规范处理管理。

    3.2.5备份与恢复

    1、需要制定专门的数据备份管理流程,对备份方式(如增量备份或全备份等)、备份频度(如每日或每周等)、存储介质、保存期、放置场所、文件命名规则、介质替换频率和将数据离站运输的方法等进行详细规定;

    2、将执行恢复程序,检查和测试备份介质的有效性的检查验证工作变为定期开展工作;

    3.2.6恶意代码防范

    1、策划全员安全培训,增强恶意代码的防范意识;

    2、建议新增网关防病毒系统,与现有网络版防病毒系统形成立体防护;

    3、建议制定单独的恶意代码管理规范。

    3.2.7变更管理

    增强变更档案管理。

    3.2.8信息安全事件管理

    1、在原有检测系统的基础上,增加安全事件高风险节点的入侵防御手段和安全防护;

    2、建设安全运维管理平台,对安全事件和事故的处理进行集中管理和分析处理;同时与现有的信息管理系统进行有效的整合,将信息管理、信息安全管理进行有效的结合;

    3、对已经制定的各项事件处理流程,编制培训和演练计划。

    应急预案的培训和演练事件建议每一年举办一次。制定并执行4、明确的计划要求,对应急预案进行定期审查和根据实际情况更新的内容,更新完成后及时进行培训和演练。

    3.2.9 密码管理

    按照国家局的相关要求进行XX公司的CA体系建设;

    参考CA建设内容、相关要求和自身实际情况,制定专项的密码管理条款或规定。

    4. 管理体系建设规划

    4.1体系建设

    4.1.1 建设思路

    一个信息安全项目和驱动因素会涉及六项主要输入:

    业务需求

    安全必须与业务需求相结合,这些需求与XX公司的业务战略、目的和目标,以及公司(在互联网上)经营业务的方式相联系;有效的安全将支持和确保公司业务的成功。

    合规需求

    任何公司都有一些必须遵从的法律法规,这些规定可能是行业相关的或者具体规定公司经营的,例如,XX公司必须遵循国家等级保护的规定,同时要遵循国家XX行业局的相关规定。

    威胁

    企业必须了解其信息和业务所面临的内外部威胁。对XX公司可能这些威胁来自于病毒对业务的破坏或拒绝服务的攻击,或主机网络瘫痪,以及内外部人员的误操作等。威胁也可能是无意的,但也会破坏业务的运营,如办公室火灾或者一些计算机设备损坏。

    后果

    了解安全事件的后果是至关重要的。如若不能理解公司是如何应用信息的,就不可能针对重大风险做出有效的安全控制计划。必须平衡实施安全控制的成本和所保护的资产的价值。

    安全治理

    安全项目的治理定义了,谁将控制以及谁对妥善保护公司信息资产负有责任。治理将定义安全组织模式并对安全项目绩效和价值进行评估。

    安全管理规划思路

    4.1.2规划内容

    本文安全管理体系规划内容从以下几个方面考虑。

    安全管理体系规划内容图

    4.2信息安全管理体系现状

    4.2.1现状

    XX公司在信息系统建设过程中意识到信息安全的重要性,在安全技术方面不断完善技术体系,安全管理方面也采取了相应的措施,在人员、制度和流程上都有所体现:

    明确信息系统各部分以及各重要应用系统的管理员和职责,具体如下:

    网络管理员

    数据库管理员

    ERP管理员

    MES管理员

    OA管理员

    辅助系统管理员

    营销系统管理员

    自动化系统管理员

    服务器硬件管理员

    服务器维护管理员

    4.2.2问题

    根据风险评估的结果,结合相关调研材料,目前XX公司信息安全管理现状如下:

    缺乏信息安全方针

    由于安全目标方针不明确,导致全员不能清晰领悟安全的重要性,安全思想不能得到有效贯彻落实,对于安全建设还抱有可有可无的思想状态。

    安全管理策略制度不完善

    缺乏系统开发安全规范,可能会存在项目过程文档、内部敏感信息外流的风险,以及系统漏洞被非法利用,如网站遭到数据库注入攻击,系统维护人员直接访问数据库导致系统重要数据被破坏。

    无符合性相应的文档规范,安全产品部署不符合目前等级保护的相关要求,对重要系统今后的正常运行产生一定障碍。

    人员安全管理不规范

    人员管理不规范导致内部人员无意失误、恶意破坏系统及被非法利用;

    对第三方人员的访问无管理流程规范,会导致第三方人员的恶意破坏或误操作;

    终端人员的误操作或恶意尝试会涉及到全网机器,导致整个公司的正常业务运作。

    如果按下图管理成熟度模型评价XX公司的管理体系应该处在2左右,即大多数过程能遵循固定的模式。

    成熟度模型

    4.3管理体系建设规划

    4.3.1信息安全最高方针

    信息安全最高方针是为信息安全提供管理指导和支持,并与业务要求和相关的法律法规保持一致;是管理层正式发布的总体意图与方向,管理者应根据业务目标制定清晰的方针方向,并通过在整个组织中颁发和维护信息安全方针来表明对信息安全的支持和承诺。

    最高方针事例:

    为保护公司的信息资产(包括软硬件设施、数据、信息的安全)免于因外在的威胁或内部人员不当的管理遭受泄密、破坏或遗失,保障各项生产、经营管理工作正常有序的开展。

    贯宣口号事例:

    建立安全理念建设安全文化坚持以人为本认识安全效益

    建议:信息安全方针文档应经过管理层的批准,并传达给所有员工和外部相关方。

    4.3.2 风险管理

    建议:

    1、在信息系统的建设、运单位、变更过程中引入风险管理。

    2、对实施风险管理的信息系统中的信息资产进单位识别。

    3、应该识别受保护的信息资产所面临的威胁和信息系统所存在的脆弱性。

    4、对信息系统已采取的控制措施进行识别,并对控制措施的有效性进行确认。

    5、应该根据安全事件发生的可能性和影响程度,评估风险,确定风险等级。

    6、应该选择恰当的控制措施,并实施这些措施以降低信息系统安全风险。

    7、建立相应的制度保证风险管理的落实及维护。

    4.3.3组织与人员安全

    组织和人员是信息安全工作的重要支撑,建立有效的安全组织机构和相应的人员是做好XX公司信息安全工作的必要条件。

    一、组织结构

    建议:

    1、XX公司需要建立以厂领导为最高领导的信息安全领导小组,对XX公司信息系统的安全负有领导责任。

    2、该组织结构能够满足XX公司安全组织需求,但需要加强其职能。

    3、对上述组织结构中人员进行明确角色划分,并明确其任务分工,列入职位说明书里。

    二、信息安全职责

    建议:

    1、应在信息安全领导小组中设立信息安全运行的不同岗位,如网络管理员、数据库系统管理员、操作系统管理员、业务系统管理员等。

    2、明确规定信息系统安全管理过程中人员配备及职责。

    3、应该建立与加强与外部其它组织间的安全协作。

    4、应贯彻工作岗位中角色分离的原则,互斥、不兼容的职能角色必须分离。

    5、必须制定公司员工的安全使用原则,明确员工,尤其是信息系统相关人员、敏感信息处理人员的录用、考核、转职、离职等的安全要求。

    XX公司在管理员设置以及人员方面较好的满足了信息安全职责划分的要求。但是仍然需要在管理员角色管理,用工人员制度方面有所加强。

    三、人员安全管理

    建议:

    1、制定《员工信息安全手册》,作为唯一针对全公司的信息安全操作手册。

    2、对《员工信息安全手册》进行宣传推广。主要手段:邮件、内网论坛、集中培训宣讲。

    3、《员工信息安全手册》执行情况检查与改进

    四、信息安全培训

    建议:

    1、 应建立长期有效的信息安全培训机制,对员工进行相关的安全培训, 增强安全意识、提高安全技能。

    2、员工上岗前,应进行岗位信息安全培训,并签署信息安全保密协议。在岗位发生变动时,及时调整信息系统操作权限。

    3、信息安全政策与标准发生重大调整、新建和升级的信息系统投入使用前,开展必要的安全培训,明确相关调整和变更所带来的信息安全权限和责任的变化。

    五、信息安全检查与考核

    建议:

    1、应定期进行信息安全检查与考核,包括信息安全政策与标准的培训与执行情况、重大信息安全事件及整改措施落实情况、现有信息安全措施的有效性、信息安全技术指标完成情况。

    2、 制定正式的安全奖惩条例,处罚和奖励必须分明。

    4.3.4信息资产管理

    信息资产是指同信息系统相关的对XX公司有价值的事物,如计算机硬件和软件、数据库、服务和文档等。

    本章适用于XX公司所有部门。

    信息资产的分类分级

    建议:

    1、为了保证信息资产得到适当的保护,应该对信息分类分级,指明其保护级别。信息资产鉴别和分类是整个XX公司信息安全管理的基础,这样才能够真正知道要保护的对象。

    2、涉密(是指涉及国家秘密)信息资产应按办公室涉密信息资产规定进行管理。

    3、涉及企业秘密的资产信息,应按办公厅机密信息分类方法和制度,根据机密程度和商业重要程度对数据和信息进行分类。

    信息资产的标识

    建议:

    1、对所有识别出并进行分类的信息资产,应当建立资产目录并进行标识,标识方法可采用有形标签和电子标签。

    2、将信息资产分为不同的安全防护等级,有助于“应级而异”地规划、设计、实施相关的信息资产安全管理和保护措施,从而更有效地保障信息资产的机密性、完整性和可用性。

    信息资产的管理

    建议:

    1、根据业务、组织、人员等变化定期审查信息资产的归属类别,并更新其归属类别。

    2、应建立信息资产的物理存放、淘汰、报废等管理规定。

    3、应对各类信息资产设立责任人,明确安全责任。

    信息资产的审计和执行

    建议:

    1、各部门领导及信息资产管理员应当对本部门各类信息资产进行有效监督和管理,对违反管理规定的行为要及时指正,对严重违反者要立即上报;

    2、安全领导小组应当定期/不定期组织对各个部门的信息资产的安全状态进行审计,对违反管理规定的情况要通报批评;

    3、对严重违反规定,可能或者己经造成重大损失的情况要立即汇报上级安全指导委员会。

    4.3.5网络安全管理

    XX公司已经制定了《计算机网络管理规定》,各部门除了需要严格按照该规定执行外,还应该增加下列内容:网络基础的管理,网络运行的管理,无线网络管理.

    4.3.6桌面安全管理

    终端用户行为管理

    建议:

    1、应制定终端用户行为管理规范,严格控制用户的日常操作,并尽量避免应一台终端出现问题导致全网受影响。

    2、在操作之前,所有对主机及系统的访问都必须向用户提供示警信息。

    3、必须要求通过安全的登录程序登录主机及系统。

    4、用户必须具有唯一的个人身份标识,保证对主机及系统的所有活动都可以追溯到责任者。

    5、对于员工违反安全策略和安全流程,制定相应的纪律处分规定进行处罚。

    桌面防病毒管理

    建议:

    1、制定防病毒的管理制度和操作指南。

    2、设立专门的管理员负责防病毒的管理工作。

    3、如遇病毒安全事故,则按照信息安全事件响应。

    4、应在全网范围内建立多层次的防病毒体系,要使用国家规定的、服务技术支持优秀、具有计算机使用系统安全专用产品销售许可证的网络防病毒产品。各部门对防病毒软件的部署应该做到统一规划,统一部署,统一管理。

    4.3.7 服务器管理

    1、服务器系统是指承载重要业务的服务器,其安全管理不同于普通桌面系统,其它全管理不仅针对自身操作系统,还包括业务系统。

    2、应制定服务器系统安全管理规范,对服务器的软件安装、主机操作系统、服务器补丁/升级及变更等各方面进行管理。

    3、XX公司已经制定了《服务器管理规定》,用于加强对服务器的管理。各部门除了要严格执行《服务器管理规定》所述各项规定外,还需要进一步细化,遵守下述服务器安全管理规定:软件安装安全管理,服务器系统安全管理,服务器补丁/升级安全管理,变更管理。

    4.3.8第三方安全管理

    由于XX公司业务系统较多,有很多系统是委托第三方机构进行开发或者代维,XX公司不能直接管理第三方,所以可能面临着很大的威胁。

    此章节适用于与第三方机构及人员活动的各部门。

    建立第三方安全管理的规范和制度,并要求其严格遵守。严格控制第三方对XX公司信息系统的访问,并在合同中规定其安全责任和安全控制要求,以维护第三方访问的安全性。

    4.3.9系统开发维护安全管理

    XX公司信息化建设步伐很快,新的系统陆续在开发,如果开发过程中的安全管理做好可避免系统运行后因应用系统漏洞而受到威胁。

    本章适用于涉及信息系统开发维护的所有部门。

    应建立系统开发维护管理规范,对系统开发过程及维护过程进行严格管理。

    4.3.10业务连续性管理

    业务连续性管理是确认影响业务发展的关键性因素及其可能面临的威胁。并由此而拟定一系列计划与步骤用来确保企业无论处于何种状况下,这些关键因素的作用都能正常而持续地发挥作用,应对可能发生的冲击及对企业运作造成的威胁,确保业务的连续稳定连续运行。通常在企业信息安全工作里,业务连续性是指应急响应和灾难恢复工作。

    XX公司已经建立了《信息安全事故响应预案》,各部门除了要严格遵守和执行上述预案外,还应该从风险管理的角度的出发,多方面考虑业务连续性的要求,细化应急响应工作内容。,具体要求:建立应急响应小组,制定应急响应计划,信息安全事件的报告和应急处理,建立应急信息库,应急恢复演练和测试。

    4.3.11项目安全建设管理

    项目安全建设管理是指从可行性研究、立项、招投标、合同到设计、施工等各个环节按照法律法规、工程建设相关管理规定为依据在信息安全方面进行的管理。

    此章节适用于进行建立IT相关项目的各部门。

    应结合公司相关工程建设管理规范对项目整个过程建立安全管理规范,包括项目设计安全管理,项目施工安全管理,项目试运行安全管理,项目验收安全管理.

    4.3.12物理环境安全

    物理环境安全不仅包括机房,还包括工作环境等区域,应针对这些区域进行安全管理。

    此章适用于XX公司所有部门。

    物理环境安全包括物理区域划分,物理访问控制,物理设备安全管理,物理文档安全管理。

    4.4管理体系建设规划

    4.4.1项目规划

    通过本规划中的建设项目达到等级保护和国家局安全保障体系建设指南的相关管理基本要求。具体规划项目内容如下:

    类别

    基本要求

    项目编号

    建设项目

    管理

    安全管理机构

    ISM-1

    信息安全组织建立

    安全管理制度

    ISM-2

    信息安全制度完善

    人员安全管理

    ISM-3

    人员安全能力建设

    系统建设管理

    ISP-4

    第三方运维管理

    ISP-3

    信息安全建设过程完善

    制度评审

    ISM-4

    信息安全制度评审

    运维

    流程规范

    ISP-2

    网络安全流程规范完善

    ISP-1

    系统运维规范建设

    风险评估

    ISM-5

    风险评估能力建设

    采购与实施过程管理

    ISP-3

    信息安全建设过程完善

    日常维护

    ISP-5

    配置管理规范建设

    ISP-2

    网络安全流程规范完善

    应急与事件响应

    ISP-6

    应急响应能力建设

    备注:ISM:Information Security Management,信息安全管理

    ISP:information Security Procedure,信息安全流程

    规划项目内容表

    4.4.2总结

    通过上述安全管理体系的建设,可以使XX公司的安全管理水平达到一个新的高度,满足现实安全需求的要求,同时也满足合规性的相关要求。随着XX公司信息安全技术体系,管理体系运维体系的相继建设,XX公司的信息系统将大大提高安全防护能力,并且在制度上能够保证安全措施的落实,从而极大的提高了系统的安全性。

    本文转载自公众号爱方案(ID:ifangan)。

    展开全文
  • XX大酒店重大活动餐饮服务食品安全保障工作预案
  • 方案讲解HW背景(定位、趋势、分数影响、保障目标)及典型失分原因分析,从攻击和防御视角看HW行动,深信服HW安全保障解决方案(攻击队流程&方法/思路备战方案、迎战方案、临战方案、实战方案、总结方案),HW案例...
  • 保障农村饮用水安全预案研究,徐瑛丽,,浙江省“千万农民饮用水工程”项目正分阶段逐步解决全省农村饮用水安全问题,因地制宜采取不同模式供水方式,保障供水水质和水量
  • 内涵华为重大节假日安全保障客户宣传交流胶片、重大节假日安全保障技术建议书、重大事件保障服务说明书、重大节假日安全保障服务方案销售策略及报价等客户技术服务经理必备的销售工具。
  • 本节书摘来自华章出版社《信息安全保障》一书中的第2章,第2.3节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖...将信息安全保障工作划分为确定信息安全需求、设计并实施信息安全方案、信息安全...

    本节书摘来自华章出版社《信息安全保障》一书中的第2章,第2.3节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖社区“华章计算机”公众号查看

    2.3 信息安全保障工作方法

    信息安全问题的复杂性和信息安全范畴的广泛性,决定了开展信息安全保障工作,需要有科学的方法。将信息安全保障工作划分为确定信息安全需求、设计并实施信息安全方案、信息安全测评、监测与维护信息安全4个阶段过程,既是一种有效的信息安全保障工作方法,也是合理的信息安全保障工作步骤。

    2.3.1 确定信息安全需求

    信息安全需求是安全方案设计和安全措施实施的依据。准确地提取安全需求,一方面可以保证安全措施全面覆盖信息系统面临的风险,使安全防护能力达到业务目标和法规政策要求。另一方面可以提高安全措施的针对性,避免不必要的安全投入,防止浪费。
    1.?信息系统安全保障需求来源
    信息系统安全保障需求,主要来源于以下3个方面:首先是符合性要求(也称为遵循性要求),即信息系统安全保障策略必须遵循国家相关法律法规、标准、行业规定以及机构整体安全策略,如等级保护要求等;其次是信息系统所承载业务正常运行的需求,不同业务对于信息安全的属性要求不同,如军队、政府部门常常把信息的保密性放在首位,能源、交通等行业往往把可用性放在首位,金融等行业更重视信息的完整性,但无论哪个业务,都不能只片面地考虑某一个属性而忽略其他属性的要求;最后是信息系统所面临的风险,需要根据风险的轻重缓急,重点将重大和急迫风险的消除或降低作为保障需求。
    2.?需求制定方法
    信息系统安全保障的具体需求由信息系统保护轮廓(Information Systems Protection Profile,ISPP)确定。ISPP是根据组织机构使命和所处的运行环境,从组织机构策略和风险的实际情况出发,对具体信息系统安全保障需求和能力进行具体描述。它是从信息系统所有者(用户)的角度规范化、结构化地描述信息系统安全保障需求。
    根据ISSP要求,信息系统安全需求的标准格式应包括如下7个部分:引言、信息系统描述、信息系统安全环境、安全保障目的、安全保障要求、ISPP应用注解以及符合性声明。
    其中,信息系统描述主要是说明信息系统的范围、网络结构、主机操作系统与数据库、应用等方面内容。信息系统安全环境主要描述信息系统所处的环境、面临的威胁、信息系统采用的安全策略等。安全保障目的主要描述预期安全需求要达到的目标,需要指出的是,安全目的不宜涉及安全需求的实现细节。
    安全保障要求是安全需求的主要陈述部分,包括控制要求和能力成熟度(Capability Maturity,CM)要求。安全保障要求的组成如下:一是安全技术保障要求,技术保障要求来自支持信息系统安全保障的那些技术领域中期望的安全行为,GB/T 20274《信息系统安全保障评估保障评估框架》第2部分定义了安全技术保障控制要求和技术架构能力成熟度级;二是安全管理保障要求,管理保障要求来自支持信息系统安全保障的那些管理领域中期望的安全行为,GB/T 20274《信息系统安全保障评估保障评估框架》第3部分定义了安全管理保障控制要求和管理能力成熟度级;三是安全工程保障要求,工程保障要求来自支持信息系统安全保障的那些工程领域中期望的安全行为,GB/T 20274《信息系统安全保障评估保障评估框架》第4部分定义了安全工程保障控制要求和工程能力成熟度级。通过合理选择安全技术、管理和工程保障控制要求及其能力成熟度级,可以确保达到一定的安全保障目的。
    ISPP应用注解是补充一些相关附加信息,符合性声明则说明安全保障目的符合安全环境要求,安全保障要求满足安全保障目的。

    2.3.2 设计并实施信息安全方案

    信息安全保障解决方案是一个动态的风险管理过程,通过对信息系统全生命周期的风险控制,来解决在运行环境中信息系统安全建设所面临的各种问题,从而有效保障业务系统及应用的持续发展。
    信息安全保障方案是以安全需求为依据进行设计的。在设计安全方案时,需要确保方案贴合实际,具有可实施性,包括可接受的成本、合理的进度、技术可实现性,以及组织管理和文化的可接受性。
    在工作中,可以根据信息系统安全目标(Information Systems Security Target,ISST)来规范地制订信息安全方案。ISST根据ISPP编制,从信息系统安全保障建设方(厂商)的角度制定信息系统安全保障方案。
    根据ISST要求,信息系统安全方案的标准格式应包括如下8个部分:引言、信息系统描述、信息系统安全环境、安全保障目的、安全保障要求、信息系统概要规范、ISPP声明,以及符合性声明。其中,引言、信息系统描述、信息系统安全环境、安全保障目的、安全保障要求部分与ISPP一致。
    信息系统概要规范包括信息系统安全功能满足哪一个特定的安全功能需求,保证措施满足哪一个特定的安全保障要求,以及相应的解释、证明等支持材料。与ISPP类似,在编制这部分内容时,从GB/T 20274《信息系统安全保障评估框架》的第2部分选择具体技术组件,第3部分选择管理组件,第4部分选择工程组件。
    实施信息安全保障方案时,要以方案为依据,覆盖方案所提出的建设目标和建设内容。另外,在实施过程中,应规范实施过程,有效控制实施质量、进度、成本及变更,充分考虑实施风险,如资源不足、对业务正常运行造成的影响、信息泄露或破坏等。

    2.3.3 信息安全测评

    信息安全测评是依据相关标准,从安全技术、功能和机制等角度对信息技术产品、信息系统、服务提供商以及人员进行测试和评估。
    1.?信息技术产品安全测评
    信息技术产品安全测评是测评机构对产品的安全性做出的独立评价,目的是提供产品的安全性证据,增强用户对已评估产品安全的信任,向消费者提供采购依据,推动信息安全技术发展,提高信息技术安全科研和生产水平。
    测评级别是根据国家标准GB/T 18336《信息技术安全性评估准则》,通过对信息技术产品的安全性进行独立评估后所取得的安全保证等级,表明产品的安全性及可信度。通过测评的级别越高,表明该产品的安全性与可信度越高,可对抗更高级别的安全威胁,适用于更高风险的环境。
    信息产品安全的测评认证由低到高划分为7个级别,即CC的评估保证级(Evaluation Assurance Level,EAL)1到7级。其中,EAL1主要是功能测试,通过该级别测评的产品主要适用领域是个人及简单商用环境,需要保护的信息价值较低;EAL2主要是结构测试,通过该级别测评的产品主要适用领域包括个人、一般商用或简单政务应用,所需保护的信息价值不太高或者是敏感但不保密的信息,其应用环境的安全风险较低;EAL3是系统地测试和检查,通过该级别测评的产品主要适用领域包括具有适当安全需求的一般政务应用、特定商用和简单军用,其应用环境存在中度安全风险;EAL4是系统地设计、测试和复查,通过该级别测评的产品主要适用领域是具有较高安全需求的特定政务应用、关键商用和一般军用环境;EAL5是半形式化设计和测试,通过该级别测评的产品主要适用领域包括安全需求很高的关键政府部门、核心商用和军事环境;EAL6是半形式化验证的设计和测试,通过该级别测评的产品主要适用领域包括具有极高安全需求的政府要害部门、要害商用和军事环境;EAL7是形式化验证的设计和测试,通过该级别测评的产品主要适用领域是具有最高安全需求的核心处理领域,包括政府、军队、商业领域的极关键机构和场所的极关键信息处理环境。
    2.?信息系统安全测评
    目前,我国常见的信息系统安全测评包括信息系统风险评估、信息系统等级保护测评,以及信息系统安全保障测评。
    (1)信息系统风险评估
    信息系统风险评估是从风险管理的角度,运用科学的方法和手段,全面分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件一旦发生可能造成的危害程度,提出有针对性地抵御威胁的防护对策和改进措施,并为防范和化解信息安全风险,将风险控制在可接受的水平,最大限度地保障网络和信息安全提供科学依据。
    (2)信息系统等级保护测评
    信息系统等级保护测评是对信息系统安全等级保护状况进行测试评估,包括两个方面的内容:一是单元测评,依据等级保护测评相关标准对GB/T 22239所要求的基本安全控制在信息系统中的实施配置情况进行测评;二是整体测评,主要测评信息系统的整体安全性,是在单元测评的基础上,对信息系统开展整体测评,可以进一步分析信息系统的整体安全性。整体测评主要包括安全控制间、层面间和区域间相互作用的安全测评以及系统结构的安全测评等。
    (3)信息系统安全保障测评
    信息系统安全保障测评是在风险评估的基础上,评估信息系统生命周期中采取的技术类、管理类、过程类和人员的安全保障措施,确定信息系统安全保障措施对系统履行其职能的有效性及其对面临安全风险的可承受度。
    对信息系统的安全保障测评,首先需要根据信息系统运行环境及相关的ISPP进行描述,然后依据需求编制满足用户需求的信息系统安全保障方案,即ISST。评估者依据这些文件对信息系统安全保障方案满足ISPP的符合情况进行评估,在此基础上,依据国标GB/T 20274《信息系统安全保障评估框架》对信息系统的技术、管理和工程3个方面的能力成熟度级别进行评价,最终确定信息系统安全保障能力级别。
    在管理方面,依据《信息系统安全保障评估框架第3部分:管理保障》,安全管理能力成熟度级(security Management Capability Maturity Level,MCML)分为5级,由低到高分别为MCML1、MCML2、MCML3、MCML4和MCML5。其中,MCML1表明组织机构内部能够依据经验进行部分的安全管理工作;MCML2表明组织机构能够建立完善的管理体系来规范安全管理能力;MCML3表明组织机构能够采取有效措施来敦促管理体系的落实和实施;MCML4表明组织机构所制定的管理体系不仅能够有效实施,而且还能够对实施管理措施的效果进行测试;MCML5表明机构能够对管理体系进行持续性改进。
    在工程方面,依据《信息系统安全保障评估框架第4部分:工程保障》,安全工程能力成熟度级(security Engineering Capability Maturity Level,ECML)分为5级,由低到高分别为ECML1、ECML2、ECML3、ECML4和ECML5。
    在技术架构方面,依据《信息系统安全保障评估框架第2部分:技术保障》,安全技术能力成熟度级(security Technique Capability Maturity Level,TCML)分成5级,即TCML1、TCML2、TCML3、TCML4和TCML5。在安全产品选用上可以参照国标GB/T 18336《信息技术安全性评估准则》的要求,为不同安全等级的信息系统选用相应安全保证级的产品。
    3.?信息安全服务资质评估
    信息安全服务资质评估是对信息安全服务提供者的资格状况、技术实力和实施服务过程质量保证能力的具体衡量和评价。资质等级的评定是在其基本资格和能力水平、组织管理水平、安全工程基本过程的实施和控制能力等方面的单项评估结果基础上,针对不同服务种类,综合评价后确定的,并由国家测评机构授予相应的资质级别。其中,基本资格是评定安全服务机构的起评条件,如独立法人、具备安全服务许可资格和无违法行为记录等。基本能力要求是评定服务机构资质等级的基础,包括服务机构的组织架构和管理、规模和资产、质量保证、技术能力、人员构成与素质、设备设施与环境、业绩和培训等。工程能力是评定安全服务机构资质的主要依据,标志着服务机构提供给客户的安全服务专业水平和质量保证程度。
    信息安全服务资质等级反映了安全服务机构的综合实力,包括该机构的安全服务资格、水平和能力。服务资质等级分为5级,由1级到5级递增。1级是基本执行级,表明服务机构具备为客户提供基本信息安全服务的能力;2级是计划跟踪级,表明服务机构能够为提供的服务制订周密的计划,并按照计划规范执行,同时能够提供证据确认过程按预定的方式执行,并能够控制项目进展;3级是充分定义级,服务机构定义该机构服务过程,并依据项目特点对已批准发布的标准过程进行适当裁减以适应特定项目,与第2级相比,该级别的服务机构能够利用机构范围内的标准过程来管理和规划,同时能够通过项目和组织活动的协调,确保大型安全服务项目的实施质量;第4级是定量控制级,该级别的服务机构管理是客观的、工作产品质量是量化的,能够收集和分析执行过程的详细测量,获得对过程能力和改进能力的量化理解以预测项目执行情况;第5级是连续改进级,该级别的服务机构能够通过执行已定义的过程和有创见的新概念、新技术的量化反馈,来保证对这些目标进行可持续的过程改进。
    4.?信息安全人员认证
    信息安全保障工作的核心因素是人。国家、社会和各单位对信息安全专业人员的需求逐年增加,但社会需求与人才供给之间还存在着很大差距,人才问题已经成为当前严重制约信息安全保障能力的瓶颈。因此,开展信息安全专业人员培训认证,为政府、行业和企业输送更多的专业化技术人员已经成为使各行业提升自身信息安全保障水平的重要基础性因素。
    注册信息安全专业人员根据工作领域和实际工作岗位的需要,分为如下5个方向。
    1)注册信息安全工程师(Certified Information Security Engineer,CISE):持证人员从事信息安全技术领域的工作,具有从事信息系统安全集成、安全技术测试、安全加固和安全运维的基本知识和能力。
    2)注册信息安全管理人员(Certified Information Security Officer,CISO):持证人员从事信息安全管理领域的工作,具有组织信息安全风险评估、信息安全总体规划编制、信息安全策略制度制定和监督落实的基本知识和能力。
    3)注册信息安全开发人员(Certified Information SecurityDeveloper,CISD):持证人员主要从事软件开发、硬件设计,在全面掌握信息安全基本知识技能的基础上,具有较强的安全开发能力、熟练掌握应用安全。
    4)注册信息安全审计师(Certified Information System Auditor,CISA):持证人员主要从事信息安全审计工作,在全面掌握信息安全基本知识技能的基础上,具有较强的信息安全审计、安全检查实践能力。
    5)注册信息安全专业人员-灾难恢复工程师(Certified Information Security Professional-Distribution Resource Planning,CISP-DRP):持证人员主要从事信息系统灾难恢复工作,在全面掌握信息安全基本知识技能的基础上,具有较强的信息系统灾难恢复建设和管理的实践能力。
    CISP的知识体系结构主要涵盖5个领域:信息安全保障、信息安全技术、信息安全管理、信息安全工程和信息安全标准法规,具体结构如图2-2所示。

    image

    2.3.4 信息安全监测与维护

    信息安全风险是动态变化的,信息系统安全保障需要覆盖信息系统的整个生命周期。因此,必须持续进行风险评估,时刻监控信息系统安全风险的变化,这是信息安全保障的一项基础性工作,变化的风险为系统提供新的安全需求,也是安全决策的重要依据。只有加强系统内部风险和攻击事件的监测,形成持续改进的信息系统安全保障能力,才能有效保障系统的安全。以风险管理为基础的信息安全维护工作包括安全漏洞和隐患的消控,保持有效事件管理与应急响应机制,实现强大的信息系统灾难恢复能力。
    思考题
    1.?我国信息安全保障工作的基本思路是什么?我国信息安全保障工作的目标有哪些?
    2.?构建国家信息安全保障体系主要包括哪些方面的内容?
    3.?如何获得、维护并持续提高信息安全保障能力?

    展开全文
  • 入侵排查篇/日志分析篇/权限维持篇/Windows实战篇/Linux实战篇/Web实战篇/恶意样本库/CISP认证应急响应知识体系与课件 NIST计算机信息安全应急处置指南 ...深圳大运会安全保障方案等重大节假日安全保障方案集合
  • 一份网络与信息安全保障措施的方案,可以用来做制度和指导公司内部网络与信息安全建设。也可用作投标书中网络与信息安全保障措施的方案
  • 本节书摘来自华章出版社《信息安全保障》一书中的第2章,第2.2节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖社区“华章计算机”公众号查看 2.2 我国信息安全保障工作主要内容 为构建信息安全...

    本节书摘来自华章出版社《信息安全保障》一书中的第2章,第2.2节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖社区“华章计算机”公众号查看

    2.2 我国信息安全保障工作主要内容

    为构建信息安全保障体系,我国已经在信息安全标准化、应急处理与信息通报、等级保护、风险评估和人才队伍建设等方面展开工作,并取得了一些成果。

    2.2.1 信息安全标准化

    信息安全标准为信息安全保障各项工作提供规范,为保障工作的各参与方提供交流和评判的基准,因此,信息安全标准化是国家构建信息安全保障体系的重要基础环节。
    1.?意义
    信息安全标准化工作是我国信息安全保障工作的重要组成部分之一,也是政府进行宏观管理的重要依据,同时也是保护国家利益、促进产业发展的重要手段之一。虽然国际上有很多标准化组织研究制定了多个信息安全标准,但是由于信息安全标准事关国家安全利益,因此不能过分依赖于国际标准,而是要在充分借鉴国际标准的前提下,通过本国组织和专家制定出符合本国国情并可以信任的信息安全技术和管理等领域的标准,切实有效地保护国家利益和安全。
    信息安全标准是解决信息安全产品和系统在设计、研发、生产、建设、使用和测评中的一致性、可靠性、可控性、先进性和符合性的技术规范与依据。信息安全保障体系的建设是一个极其庞大的复杂系统,没有配套的安全标准,就不能构造出一个可用、实用的信息安全保障体系。信息安全标准化建设作为我国信息安全保障体系的重要组成部分,具有极其重要的意义。
    信息安全标准化工作是解决信息安全问题的重要技术支撑,其作用突出地体现在能够确保有关产品、设施的技术先进性、可靠性和一致性。在按国际规则实行IT产品市场准入时能够为相关产品的安全性合格评定提供依据,以强化和保证我国信息化的安全产品、工程、服务的技术自主可控。
    2.?实践历程
    目前,国务院授权在国家质量监督检验检疫总局管理下,由国家标准化管理委员会统一管理全国标准化工作,下设有529个专业技术委员会。中国标准化工作实行统一管理与分工负责相结合的管理体制,由88个国务院有关行政主管部门和国务院授权的有关行业协会分工管理本部门、本行业的标准化工作,由31个省、自治区、直辖市政府有关行政主管部门分工管理本行政区域内本部门、本行业的标准化工作。
    1984年7月,在我国的全国计算机与信息处理标准化技术委员会下,建立了相应的数据加密分技术委员会,在国家技术监督局和原电子工业部的领导下,归口管理国内外的信息技术数据加密的标准化工作。1997年8月,随着信息技术的发展和工作范围的扩大,在原数据加密分委员会的基础上,改组成立了信息技术安全分技术委员会(与国际ISO/IEC JTC1/SC27信息技术的安全技术分委会对应)。它是一个具有广泛代表性、权威性和军民结合的信息安全标准化组织,其工作范围是负责信息和通信安全的通用框架、方法、技术和机制的标准化,归口国内外对应的标准化工作。2002年4月,经国家标准化管理委员会批准,全国信息安全标准化技术委员会(简称“信安标委”,委员会编号为TC260)正式成立。
    信安标委成立后,逐步形成“基础性研究——标准预研——标准制定”3个阶段波浪式的标准研制新模式,以工作组为主体开展信息安全标准的研究制定工作。工作组由国内信息安全技术领域的有关部门、研究机构、企事业单位及高等院校等代表组成,是标准研制的技术力量。目前正式成立了信息安全标准体系与协调工作组(WG1)、涉密信息系统安全保密工作组(WG2)、密码工作组(WG3)、鉴别与授权工作组(WG4)、信息安全评估工作组(WG5)、通信安全工作组(WG6)和信息安全管理工作组(WG7)7个工作组。
    信安标委制定形成了我国信息安全标准体系框架,并以该标准体系框架作为指导我国信息安全标准制订工作的指导性技术文件,围绕信息安全保障体系建设,积极开展了配套标准的研究制定工作。
    除全国信息安全标准化委员会、公安部信息系统安全标准化技术委员会、中国通信标准化协会网络与信息安全技术工作委员会3个专业性信息安全标准化组织外,我国其他有关主管部门和地方政府也发布了部分信息安全行业标准或地方标准。

    2.2.2 信息安全应急处理与信息通报

    发生信息安全事件可能造成严重损失和恶劣社会影响,我国非常重视信息安全事件管理。应急处理与信息通报是信息安全事件管理的重要内容。加强信息安全应急处理与信息通报是信息安全保障实践活动的重要内容,能够提高安全事件的整体应对能力。
    1.?意义
    国家信息基础设施安全应急保障工作是国家信息安全保障体系建设的重要组成部分。建立健全应急处理与信息通报机制依赖于建设和完善信息安全监控体系,提高网络安全事件应对和防范能力,防止有害信息传播。因此,高度重视信息安全应急处置工作,健全信息安全应急指挥和安全通报制度,不断完善信息安全应急处置预案,具有十分重要的意义。
    1)信息安全应急处理与信息通报工作是国家信息安全保障工作的基本制度和重要措施。
    建立国家网络与信息安全通报机制,有利于各部门、各领域实现信息交流与共享,综合分析安全威胁和安全状况,做好信息安全预警和防范工作,提升对信息安全事件的快速反应和整体应对能力,保证应对措施的及时性和有效性;有利于国家调动和整合各领域的有利资源,迅速、全面掌握整体情况,及时做出决策部署;有利于全社会增强安全防范意识,共同参与信息安全保障工作。因此,建立国家网络与信息安全通报制度,是国家信息安全保障工作的基本制度和重要举措。
    2)信息安全应急处理与信息通报工作有利于提高基础信息网络与重要信息系统的信息安全防范、保障能力。
    建立国家网络与信息安全信息通报制度,能够及时、全面地收集、汇总各方面的网络与信息安全信息,经过综合研判分析,提出对策、建议并及时通报基础信息网络和重要信息系统,为事件发生单位提供对策和技术支持,为其他单位提供预警信息,从而协助基础信息网络和重要信息系统全面掌握国内、外网络与信息安全政策和技术动态,有针对性地制定和实施安全防范措施,增强网络与信息安全防范、保障能力,确保涉及国计民生的基础信息网络和重要信息系统的安全。
    3)信息安全应急处理与信息通报工作有助于加强国家网络与信息安全应急处置工作。
    建立国家网络与信息安全通报制度,能够在发生重大网络与信息安全事件时,在国家网络与信息安全协调小组和成员单位之间以及各成员单位之间,建立畅通的信息交流渠道,全面收集事件的相关情况,及时上报协调小组,同时将协调小组的预警命令和决策部署下达到成员单位,做好预警和防范工作,建立健全国家信息安全应急处置协调机制和指挥调度机制,提高对网络与信息安全事件的快速反应和整体应对能力,保证应急处置措施的及时性和有效性,确保国家基础信息网络和重要信息系统的安全。
    2.?实践历程
    信息安全应急保障体系包括组织机构、标准法规、支撑系统和运行能力4个方面。组织机构是负责国家信息基础设施安全应急处理与通报工作的主体;标准法规是实施国家信息基础设施安全应急处理与通报工作的行为准则和技术标准;支撑系统是支持国家信息基础设施安全应急处理与通报工作实施的技术手段;运行能力是组织机构按照标准法规、利用支撑系统处置国家信息基础设施安全应急事件的能力。
    (1)信息安全应急处理机制的建立
    2000年,我国成立了国家计算机网络应急技术处理协调中心(National Computer network Emergency Response technical Team Coordination Center of China,CNCERT/CC)、国家计算机病毒应急处理中心和国家计算机网络入侵防范中心,建立了最早的技术合作雏形。后来根据在2001年应对一系列大规模网络安全事件中得到的经验教训,这个合作体系又扩大到各骨干互联网运营单位。扩展后的合作体系使我国对大规模网络安全事件的应急响应效率和能力有了极大的提高。自2003年起,各部门都开始制定与互联网相关的应急预案,开始重视应急协调预案和不同部门间的协调。根据新的网络安全威胁特点,这个体系在2004年又进行了进一步的扩展和调整,形成了我国公共互联网络应急处理体系,以便发挥政府、产业界、专业组织、研究机构和安全企业等方面的作用,在中央和地方组成的核心框架下,形成有机整体,使网络安全事件的预防、应对能力均得到更全面、更有效的加强。
    我国的应急响应机构包括CNCERT/CC、中国教育和科研计算机网紧急响应组(China Education and Research Network Computer Emergency Response Team,CCERT)及其他专业性的组织。CNCERT/CC由工业和信息化部(以下简称“工信部”)互联网应急处理协调办公室直接领导,负责协调我国各计算机网络安全事件应急组(Computer Emergency Response Team,CERT),共同处理国家公共互联网上的安全紧急事件,为国家公共互联网、国家主要网络信息应用系统以及关键部门提供计算机网络安全的监测、预警、应急和防范等安全服务和技术支持,及时收集、核实、汇总和发布有关互联网安全的权威性信息,组织国内计算机网络安全应急组织进行国际合作和交流。CCERT是中国教育和科研计算机网CERNET专家委员会领导之下的一个公益性的服务和研究组织,从事网络安全技术的研究和非营利性质的网络安全服务。目前,CCERT的应急响应体系已经包括CERNET内部各级网络中心的安全事件响应组织或安全管理相关部门,是一个由30多个单位组成、覆盖全国的应急响应组织。其他专业性的应急组织还包括国家计算机病毒应急处理中心、国家计算机网络入侵防范中心、国家863计划反计算机入侵和防病毒研究中心。
    (2)信息安全通报机制的建立
    网络信息的安全保障和应急处置涉及多个部门、多个层次,需要建立和规范对影响网络与信息安全的事件的发现、分析、通报、预警以及处置的工作机制,以便统一发布危害警报,统一协调行动。协同加强安全防范,确保一旦发生大规模病毒感染、网络攻击及其他网络信息安全事件时,能够及时有效处置,减少危害损失和影响范围。
    根据“谁主管、谁负责;谁经营,谁负责”的原则,强化各个部门的信息汇总和研判工作,在国家网络与信息安全协调小组的领导下,形成跨部门的网络与信息安全有关信息的共享机制。坚持政府主导,充分发挥社会中介的作用。采用分类、分级的处理方式,规范网络与信息安全的预警和通报工作,及时有效地化解安全风险。
    “分类、分级”的预警与通报机制由公安部负责协调小组成员单位和各重要信息系统主管部门的网络与信息安全信息汇总和反馈工作。发生网络信息安全事件后,协调小组成员单位和各重要信息系统主管部门除按正常渠道上报外,必须及时通知公安机关,公安部在综合分析后,及时将研判结果通报各有关单位。公安部公共信息网络安全监察部门,面向全国接受网络与信息安全方面的报警,组织对计算机安全犯罪行为的调查和打击,研究并提出相应的应对措施,分析研判信息安全问题的性质、危害程度和可能的影响范围,必要时向政府机关、科研单位和网络营运管理部门发布安全预警信息。发生网络安全事件后,各部门、各单位、各网络运营单位和社会公众有义务及时向各级公安机关报告。
    工信部负责基础电信网络和互联网的网络与信息安全事件通报,通过CERT的协作机制,接受网络与信息安全事件报告,分析研判信息安全事件的性质和危害程度,研究提出相应的对应措施,组织技术应急,面向基础电信网络和互联网发布预警信息。
    国家网络与信息安全协调小组办公室将定期对国家网络与信息安全的总体形势进行综合研究和会商,研究提出相应的管理和技术政策建议,并向国务院报告。出现可能影响社会稳定和国民经济正常运行的网络与信息安全威胁时,随时组织会商,及时报告。

    2.2.3 信息安全等级保护

    实施信息安全等级保护能够针对不同系统有效实现恰当保护,提供所需级别的保护能力,是我国在相应法规、政策和标准的基础上推行的一项重要信息安全保障工作。
    1.?意义
    近年来,党中央、国务院高度重视,各有关部门协调配合、共同努力,我国信息安全保障工作取得了很大进展。但是从总体上看,我国的信息安全保障工作尚处于起步阶段,基础薄弱,水平不高,存在以下突出问题:信息安全意识和安全防范能力薄弱,信息安全滞后于信息化发展;信息系统安全建设和管理的目标不明确;信息安全保障工作的重点不突出;信息安全监督管理缺乏依据和标准,监管措施不到位,监管体系尚待完善。随着信息技术的高速发展和网络应用的迅速普及,我国国民经济发展和社会信息化进程全面加快,信息系统的基础性、全局性作用日益增强,信息资源已经成为国家经济建设和社会发展的重要战略资源之一。保障信息安全,维护国家安全、公共利益和社会稳定是当前信息化发展中迫切需要解决的重大问题。
    实施信息安全等级保护,能够有效地提高我国信息和信息系统安全建设的整体水平,有利于在信息化建设过程中同步建设信息安全设施,保障信息安全与信息化建设相协调;有利于为信息系统安全建设和管理提供系统的指导和服务,有效控制信息安全建设成本;有利于优化信息安全资源的配置,对信息系统实施分等级保护,重点保障基础信息网络和关系国家安全、经济命脉和社会稳定等方面的重要信息系统的安全;有利于明确国家、法人和其他组织、公民的信息安全责任,加强信息安全管理;有利于推动信息安全产业的发展,逐步探索出一条适合社会主义市场经济发展的信息安全模式。
    实行信息安全等级保护,本质上就是要明确重点、确保重点。首先是要明确重点,在国家层面,这个重点就是那些关系国家安全、经济命脉、社会稳定的基础网络和重要信息系统。对于部门、地方和企业而言,也应根据实际确定自己的保护重点。其次,在系统定级的基础上,还要综合平衡信息安全风险和建设成本,进一步确定重点部位,将有限的资源用到最急需、最核心的地方,根据安全等级进行建设和管理,确保核心系统安全。最后,实行等级保护要坚持从实际出发。我国的信息化发展不平衡,东中西部差异较大,不同部门、不同地区信息化所处的发展阶段不同,面临的信息安全风险和信息安全需求也不一样。因此,在信息安全保障中必须从实际安全需求出发,不能片面追求“绝对安全”,搞不计成本的安全,也不能搞一刀切、上下一般粗、全国一个模式。必须区分轻重缓急,根据不同等级、不同类别、不同阶段,突出重点,将有限的资源用到最急需保障的地方。这也是实事求是思想路线在信息安全保障工作中的具体体现。
    信息安全等级保护是国家信息安全保障的基本制度和方法,开展信息安全等级保护工作是促进信息化发展,保障国家信息安全的重要举措,也是我国多年来信息安全工作的经验总结。开展信息安全等级保护,就是要解决我国信息安全面临的威胁和存在的主要问题,有效体现“适度安全、保护重点”的目的,将有限的财力、物力和人力投入重要信息系统安全保护中,按标准建设安全保护措施,建立安全保护制度,落实安全责任,加强监督检查,有效提高我国信息和信息系统安全建设的整体水平。
    2.?实践历程
    1994年2月18日,《中华人民共和国计算机信息系统安全保护条例》(国务院令第147号)发布,以国务院行政法规的形式正式确定对我国境内的计算机信息系统实行安全等级保护制度,明确公安部作为主管单位,对具体工作从法律上做了明确规定,由公安机关负责国家信息安全等级保护工作的监督、检查和指导,公安部会同有关部门制定安全等级划分标准和保护的具体办法,公安部根据本条例制定实施办法。
    (1)研究制定等级保护的准则、规范和标准
    1999年,GB 17859—1999《计算机信息系统安全保护等级划分准则》(以下简称《划分准则》)发布。这是一部强制性国家标准,它既是一部技术法规,也是等级保护的重要基础标准,它从功能上把信息系统的安全等级划分为5个级别的安全保护能力。随后,国家先后颁布了多部信息安全等级保护相关标准,逐步形成等级保护标准体系。
    (2)强化等级保护
    为了进一步贯彻落实27号文件精神,推动等级保护工作,2004年9月15日,公安部会同国家保密局和国信办共同研究制定《关于信息安全等级保护工作的实施意见》(公通字[2004]66号,以下简称《实施意见》),把等级保护确认为国家信息安全的基本制度和根本方法,明确了信息安全等级保护的建设原则、工作要求、实施计划,对信息等级保护工作做了更加具体的明确,把等级保护提到一个新的高度。2005年《实施意见》下发,等级保护工作全面启动。
    2005年9月15日,国信办正式发布《电子政务信息安全等级保护实施指南(试行)》(国信办[2005]25号)(以下简称《实施指南(试行)》),着重阐述了电子政务信息安全等级保护的基本概念、工作方法和实施过程,供各级党政机关在新建和已建电子政务系统中开展信息安全等级保护工作参考。
    (3)开展等级保护基础调研
    2005年底,公安部和国信办联合印发了《关于开展信息系统安全等级保护基础调查工作的通知》(公信安[2005]1431号),就此拉开2006年信息安全等级保护工作的序幕。2006年1月17日,根据《实施意见》,公安部、国家保密局、国家密码管理局和国务院信息化工作办公室(以下简称“国信办”)联合发布《关于印发〈信息安全等级保护管理办法(试行)〉的通知》(公通字[2006]7号),于2006年3月1日起实施。
    2006年5月20日,信息安全等级保护基础调查工作初步完成,共调研了涉及各级财政、金融、税务、海关、审计、工商、社会保障、能源、交通运输、国防工业、公用通信和广播电视传媒等4897个信息系统。
    (4)开展等级保护试点工作
    2006年5月19日,由公安部副部长任组长,公安部、国家保密局、国家密码管理局和国信办有关领导为成员的国家等级保护工作协调小组召开了第一次会议。信息产业部、广电总局、铁道部、人民银行、海关总署、国税总局、民航总局、国家电网公司、证监会和保监会等国家基础信息网络和重要信息系统主管部门的有关领导参加了本次会议。2006年6月6日,公安部、国家保密局、国家密码管理局和国信办联合正式下发了《关于开展信息安全等级保护试点工作的通知》(公信安[2006]573号),确定从2006年7~10月组织开展信息安全等级保护试点工作。
    (5)开展等级保护定级工作,等级保护获得快速推进
    2007年6月22日,公安部、保密局、密码管理局和国信办四部委联合正式下发《关于印发〈信息安全等级保护管理办法〉的通知》(公通字[2007]43号),标志着信息安全等级保护工作的正式实行。该管理办法正式确定了信息安全等级保护制度的基本内容及各项工作要求,进一步明确了国家、公民、法人和其他组织在等级保护工作中的责任和义务,各职能部门在信息安全等级保护工作中的职责分工,以及信息系统运营使用单位、行业主管部门的安全保障法律责任。
    公安部、国家保密局、国家密码管理局和国信办于2007年7月26日联合下发《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安[2007]861号),部署各省、自治区、直辖市公安、保密、密码管理、信息化领导小组办公室以及中央和国家机关各部委相关部门组织开展重要信息系统安全等级保护定级工作。

    2.2.4 信息安全风险评估

    重视信息安全风险评估是信息化发达国家的重要经验,作为风险评估先驱者的信息化发达国家越来越重视信息系统风险评估工作。早在20世纪70年代初期,美国政府就提出了风险评估的要求,要求联邦政府部门依据信息和信息系统所面临的风险,根据信息丢失、滥用、泄露和未授权访问等造成损失的大小,制订、实施和维持信息安全计划,以保证信息和信息系统的适度安全。2002年颁布的《2002联邦信息安全管理法》对信息安全风险评估提出了更加具体的要求,指定联邦管理和预算办公室(Office of Management and Budget,OMB)督促这项工作,要求各联邦机构周期性地评估各自信息和信息系统的未授权访问、信息泄露、服务中断和系统破坏所造成的风险和危害,周期性地测试信息安全措施和技术的有效性。
    2006年6月,美国国土安全部正式发布了《国家基础设施保护计划》(National Infrastructure Protection Plan,NIPP)。NIPP是美国国土安全框架的一个关键要素,它是建立于一系列国家战略之上,包括2002年7月发布的《国土安全战略》,2003年2月发布的《关键基础设施和重要资产物理保护的国家战略》,2003年2月发布的《保护网际空间国家战略》,以及2003年12月发布的第7号国土安全总统令。从NIPP和这一系列美国国家战略中可以看出,以风险管理框架为基础开展风险评估工作,已经成为美国等西方发达国家保障关键基础设施和重要资源,从而保护国土安全的一个核心要素和重要手段。
    1.?意义
    信息安全风险评估是信息安全保障体系建立过程中一种重要的评价方法和决策机制,在信息安全保障体系建设中具有不可替代的地位和重要作用。信息安全风险评估是信息安全保障的基础性工作,它既是明确安全需求、确定安全保障重点的科学方法和手段,又是信息安全建设和管理的重要保证。没有准确及时的风险评估,各个机构无法对其信息安全的状况做出准确的判断。
    风险评估工作的目的是为国家信息化发展服务,促进信息安全保障体系的建设,提高信息系统的安全保护能力。目前,国家关键基础设施对信息系统的依赖性越来越强,因此,许多重要信息网络和重要信息系统单位开展信息安全风险评估的需求越来越迫切,一些大型应用行业在考虑信息系统建设的布局时,已经在信息安全评估、咨询和规划方面投入了实质性的资金支持。现阶段,风险评估工作的主要任务是要认清信息安全环境和状况,采取和完善安全保障措施,使其更加经济有效,并使信息安全策略保持一致性和持续性。
    风险评估工作的意义和作用,具体体现在以下几个方面。
    (1)信息安全风险评估是信息安全建设的起点和基础
    信息安全风险评估是科学分析信息和信息系统在保密性、完整性和可用性等方面所面临的风险,揭示一个组织机构的风险状况,并提出改进风险状况的建议的工作。只有在正确、全面认识风险后,才能在控制风险、减少风险、转移风险和接受风险之间做出正确的判断,才能决定调动多少资源,采取何种应对措施去化解、降低风险。所有信息安全建设和管理都应该是基于信息安全风险评估的结果,只有这样,信息安全建设才能做到从实际出发,坚持需求主导、突出重点,以最小的代价去最大程度地保障安全。
    风险评估既是实施信息系统安全等级保护的前提,又是信息系统安全建设和安全管理的基础工作。通过风险评估,能及早发现和解决问题,防患于未然。当前,尤其迫切需要对我国基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统进行持续的风险评估,随时掌握其安全状态,及时采取有针对性的应对措施,为建立全方位的国家信息安全保障体系提供服务。通过风险评估可以有助于认清信息安全环境和信息安全状况,明确信息化建设中各级的责任,采取或完善更加经济有效的安全保障措施,保证信息安全策略的一致性和持续性,进而服务于国家信息化的发展,促进信息安全保障体系的建设,全面提高信息安全保障能力。
    (2)信息安全风险评估是信息安全建设和管理的科学方法
    信息系统的安全性取决于系统的资产、脆弱性和威胁等多种安全要素,这些要素之间的关系以及与系统环境的关系。资产包括设备、软件、数据以及人员等,脆弱性包括系统自身在结构上、管理上和技术上的弱点和不足,威胁有自然威胁与人为威胁、内部威胁与外部威胁等,包括病毒传播、黑客攻击、网络窃密等。风险评估提供了这样一种科学的方法,它将系统的风险理论应用于某一组织的具体生产运营环境,使组织的管理层和决策层能了解组织信息安全的客观状况,基于对现状的了解,才能做出后续信息安全相关建设的正确决策。
    (3)风险评估实际上是在倡导一种适度安全
    从理论上讲,不存在绝对的安全,风险总是客观存在的。风险评估并不追求零风险,不计成本的绝对安全,或者试图完全消灭风险。信息安全风险评估要求在认清风险的基础上,决定哪些风险是必须要避免的,哪些风险是可以容忍的。也就是说,信息安全风险评估要求组织的管理者在风险与成本之间寻求一个最佳平衡点,这体现了适度安全的原则。
    2.?实践历程
    在我国,实施信息安全风险评估已有十余年。国家政策性文件《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)对信息安全风险评估工作的重视,促使我国的信息安全风险评估工作开始进入快车道。为贯彻国家政策对风险评估工作的要求,2003年,国信办成立课题组,启动了信息安全风险评估工作。课题组通过调研、标准编写和试点3个阶段的工作,先后对北京、广州、深圳和上海4个地区十几个行业的50多家单位进行了深入细致的调查与研究。在调查研究的基础上,课题组撰写了《信息安全风险评估调查报告》和《信息安全风险评估研究报告》,全面介绍信息安全风险评估的基本概念、基本理论和基本方法,阐述了信息安全风险评估的意义以及在我国推动信息安全风险评估工作的具体建议。
    2004年1月9日,全国信息安全保障工作会议在北京召开,该会对风险评估工作提出了明确要求,要“抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。根据风险评估结果,进行相应等级的安全建设和管理,特别是对涉及国家机密的信息系统,要按照党和国家有关保密规定进行保护。对涉及国计民生的重要信息系统,要进行必要的信息安全检查。”2004年3~9月,国家信息中心组织国内二十多家单位,编制完成了《信息安全风险评估指南》、《信息安全风险管理指南》等标准规范草案。
    2005年2~8月,国务院信息办在北京市、上海市、黑龙江省、云南省、人民银行、税务总局、国家电网公司、国家信息中心等地方、部门和单位组织开展了国家基础信息网络和重要信息系统信息安全风险评估试点工作,进一步完善两个标准草案并验证两个标准草案的可用性,为全面推广信息安全风险评估工作,出台信息安全风险评估相关政策文件进行了实践探索。开展风险评估试点工作显著提高了试点单位信息安全防护和管理水平,探索了风险评估工作的基本规律和方法,检验并完善了有关标准,培养和锻炼了人才队伍。
    2005年12月16日,国家网络与信息安全协调小组正式通过了《关于开展信息安全风险评估的意见》,于2006年1月正式发布,标志着我国将开始在全国范围内,尤其是基础信息网络和重要信息系统,推进信息安全风险评估工作,使信息安全风险评估工作在实践中更加深入。该意见明确关系国计民生和社会稳定的基础信息网络和重要信息系统的信息安全风险评估技术服务由国家专控队伍承担。中国信息安全测评中心和国家信息技术安全研究中心是国家信息安全风险评估专控队伍。自2006年起,每年国信办都组织风险评估专控队伍对全国基础信息网络和重要信息系统进行检查。2006年3月7日,国信办分别在北京、云南组织召开了全面推进信息安全风险评估工作的宣贯会,由此拉开我国分步全面推广信息安全风险评估工作的序幕。
    2007年发布的GB/T 20984—2007《信息安全风险评估规范》和2009年发布的GB/Z 24364—2009《信息安全风险管理指南》,使我国的风险评估和风险管理工作更趋规范。

    2.2.5 灾难恢复

    灾难恢复能力是信息安全保障能力的重要组成部分。灾难性事件的破坏力是巨大的,然而最近几年,灾难性事件频发,由此导致很多关键业务系统中断,造成严重后果。确保灾难过后关键业务能在较短时间内恢复是信息安全保障工作的目标之一。灾难恢复规划是实现业务连续性的重要步骤,是信息安全保障实践的重要内容。
    1.?意义
    灾难恢复是指将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态,并将其支持的业务功能从不正常状态恢复到可接受状态而设计的活动和流程。
    当前,信息系统灾难恢复工作已经引起了国家、社会和单位的高度重视。灾难恢复是单位保持业务连续运作的需要,长期可持续发展的要求。它是单位加强风险管理,提高市场竞争力的重要手段,同时也是保证国家安全、人民利益、社会稳定和经济发展的需要。国内、外一系列已经发生的信息安全事件表明,如果没有应对灾难的准备和一定的恢复能力,重要信息系统一旦发生重大事故或者遭遇突发事件,将严重影响国民经济发展和社会稳定。灾难恢复是为高风险、低概率事件所准备的。在一般情况下,灾难恢复资源处于闲置状态,但当灾难来临时,若灾难备份中心不能正常发挥作用,将对单位和社会造成巨大的损失和影响。而信息系统灾难恢复管理是信息安全保障的重要组成部分,灾难恢复建设是现有信息系统安全保护的延伸,承载灾难恢复系统建设的灾备中心是保障信息安全的重要基础设施。灾难恢复是整个信息安全应急工作的一个重要环节,是信息安全综合保障的最后一道防线。我国政府高度重视重要信息系统的灾难备份和灾难恢复工作,出台了有关政策和指南。
    2.?实践历程
    20世纪90年代末期,一些单位在信息化建设的同时,开始关注数据的安全保护,进行数据的备份和恢复。但当时,无论从灾难恢复理论水平、重视程度、从业人员数量和质量,还是技术水平方面都很不成熟。
    2000年的“千年虫”事件和2001年的“9•11”事件引发了国内对信息系统灾难的集体性关注。随着国内信息化建设的不断完善,以及数据大集中的开展,国家对灾难恢复工作高度重视,越来越多的单位和部门认识到灾难恢复的重要性和必要性,开展灾难恢复建设的时机已基本成熟。
    2002年4月,银监会颁布了《商业银行内部控制指引》,其中第八章《计算机信息系统的内部控制》第一百一十七条指出:建立和健全计算机信息系统风险防范的制度,确保计算机信息系统设备、数据、系统运行和系统环境的安全;第一百三十一条中明确规定:商业银行应当建立计算机安全应急系统,制订详细的应急方案,并定期进行修订和演练。数据备份应当做到异地存放,在条件允许时,应当建立异地计算机灾难备份中心。2002年8月,人民银行下发的《中国人民银行关于加强银行数据集中安全工作的指导意见》中明确规定:“为保障银行业务的连续性,确保银行稳健运行,实施数据集中的银行必须建立相应的灾难备份中心”。
    2004年9月,国信办印发了《关于做好重要信息系统灾难备份工作的通知》(信安通[2004]11号),对做好国家重要信息系统灾难备份工作的主要目标、基本原则和近期任务提出了明确要求。文件强调了“统筹规划,资源共享,平战结合”的灾备工作原则。为进一步推动8个重点行业加快实施灾难恢复工作,国信办于2005年4月下发了《重要信息系统灾难恢复指南》(以下简称《指南》),指明了灾难恢复工作的流程,灾备中心的等级划分及灾难恢复预案的制定,使得灾难恢复建设迈上了一个新的台阶。
    2006年,在《指南》工作组的基础上,成立了标准工作组,编写《信息系统灾难恢复规范》(以下简称《规范》),编制任务由全国信息安全标准化委员会下达,由中国信息安全测评中心承担。2007年6月14日《规范》正式发布,编号为GB/T 20988—2007,这是我国灾难恢复行业第一部国家标准。
    除了国家政策上的支持,近年来,各行业为了提高信息系统的可靠性,也逐步展开了信息系统的灾难恢复建设。随着各单位对灾难恢复重视程度的提高,相关管理办法和规范陆续出台,2004年,中国灾难恢复市场开始初具规模。目前,深圳市已经开始建设灾备中心,北京、上海、广州和杭州等地方政府正在研究建设灾备中心。有关部委也在启动灾难恢复工作,海关总署已建成灾备中心,其他一些单位的灾备中心也在建设或规划中。
    2005年5月和2006年7月,在国务院信息办的指导下,中国信息产业商会信息安全产业分会分别在广东南海和北京成功举办了灾难恢复行业高层论坛和研讨会,对中国灾难恢复行业有序、健康发展起到了积极推动作用。
    2.2.6 人才队伍建设
    构建信息安全保障体系的各项工作,都需要具有相应信息安全知识和技能的人员来推动。然而,信息安全人才短缺却是当前我国信息安全保障工作面临的主要问题之一。针对这一现状,国家已经先后在多个政策和规划当中提出加快加强信息安全人才队伍建设的要求。
    1.?意义
    在整个信息安全保障工作中,人是最核心、最活跃的因素,信息安全保障工作最终也是通过人来落实的。因此,加快信息安全人才培养体系建设是发展我国信息安全保障体系必备的基础和先决条件。
    多年来,国家高度重视我国信息安全人才队伍的培养和建设。2003年9月,中共中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003] 27号),针对信息安全人才建设与培养工作提出了“加快信息安全人才培养,增强全民信息安全意识”的指导精神。2010年4月6日,中央军委印发《关于加强新形势下军队信息安全保障工作的意见》,意见提出要加强信息安全人才队伍建设,抓好专业力量训练和组织运用,要充分发挥广大官兵在信息安全防护中的主体作用,采取多种形式开展信息安全教育,进一步增强信息安全意识。2012年5月,国务院常务会议发布了《关于大力推进信息化发展和切实保障信息安全的若干意见》,明确提出加强宣传教育和人才培养,开展面向全社会的信息化应用和信息安全宣传教育培训。
    我国培养信息安全人才以建成国家信息安全保障体系为目标,明确信息安全人才培养的使命,把培养信息安全高级人才与信息安全的普及教育相结合,提高公民的信息安全意识。在加强学科教育的同时,加大信息安全职业培训的规模,满足社会信息化发展的需求。
    2.?实践历程
    2005年,教育部发布《教育部关于进一步加强信息安全学科、专业建设和人才培养工作的意见》,从加强信息安全学科体系研究、信息安全硕士和博士点建设、稳定信息安全本科专业设置和建立信息安全继续教育制度等十个方面提出了指导性意见。2007年我国成立了“教育部高等学校信息安全类专业教学指导委员会”,进一步促进了高校的信息安全学科建设。
    1999~2012年,我国已有80余所高校建立了信息安全本科专业,每年培养信息安全类专业本科毕业生近万人,信息安全学科建设和人才培养进入热潮阶段。从2001年武汉大学创建全国第一个信息安全本科专业,到北京大学软件与微电子学院宣布正式成立信息安全系,各高校在互联网安全监察、等级保护、风险评估、网络攻防、内容安全、数字版权保护、安全策略管理、安全系统设计与监理、计算机犯罪取证、安全标准与管理规范等多个方面形成了信息安全工程硕士的培养体系,并已经向政府立法、执法、监管和广大企、事业单位输送了大批专门人才。我国信息安全专业教育已基本形成了从专科、本科、硕士、博士到博士后的正规高等教育人才培养体系。
    除正规大学教育外,我国信息安全非学历教育已基本形成了以各种认证为核心,辅以各种职业技能培训的信息安全人才培训体系。这种培训认证是提高信息安全从业人员整体水平,解决信息安全专业人才缺口的重要方法和途径。目前,我国信息安全认证培训主要是政府相关部门的认证,如中国信息安全测评中心的“注册信息安全专业人员”(Certified Information Security Professional,CISP)资质认证;以及一些信息安全企业认证,如微软、思科等。这些都对提高信息安全专业人员的理论和技术水平,提升信息安全产业的竞争能力,强化国家信息安全管理起到了重要作用。
    然而,我国现有信息安全人才培养状况尚不能满足国家政府部门、基础信息系统和网络等关系到国计民生的重要部门与行业的需求。一方面,国内每年对信息安全人才的需求量高达数十万,今后一段时间,还将持续增长,而人才供给(包括学历教育和在职教育)每年不到3万人,在未来一段时间内,信息安全从业人员的数量同社会实际需求仍然存在较大缺口。另一方面,信息安全人才综合能力要求高,知识更新快,而当前我国信息安全教育应用实践性不足,难以满足用人单位的深层次、个性化要求。

    展开全文
  • 本节书摘来自华章出版社《信息安全保障》一书中的第1章,第1.3节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖社区“华章计算机”公众号查看 1.3 信息系统安全保障概念与模型 满足不同需求具有...

    本节书摘来自华章出版社《信息安全保障》一书中的第1章,第1.3节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖社区“华章计算机”公众号查看

    1.3 信息系统安全保障概念与模型

    满足不同需求具有各种功能的信息系统是信息化社会构成的基础,信息系统安全是确保信息系统结构与相关元素的安全,以及与此相关的各种安全技术、安全服务和安全管理的总和。与信息安全相比,信息系统安全更具有体系性、可设计性、可实现性和可操作性。

    1.3.1 信息系统安全保障概念

    信息系统安全保障是在信息系统的整个生命周期中,从技术、管理、工程和人员等方面提出安全保障要求,确保信息系统的保密性、完整性和可用性,降低安全风险到可接受的程度,从而保障系统实现组织机构的使命。
    image

    1.?信息系统
    信息系统是具有集成性的系统,每一个组织中信息流动的总和都构成了一个信息系统。可以认为,信息系统是根据一定的需要来进行输入、系统控制、数据处理、数据存储与输出等活动所涉及的所有因素的综合体,如图1-5所示。现代信息系统是以计算机为基础,包括人员、硬件、软件、数据4种基本资源。
    人员包括系统用户和系统专业人员。系统用户是信息系统的使用者,他们是利用信息系统或通过它产生信息的人;系统专业人员包括系统分析人员、程序编写人员与系统操作人员。系统分析人员根据用户的信息需求设计对应的信息系统;程序编写人员根据分析人员的说明书准备计算机程序;系统操作人员主要负责对信息系统的操作。
    硬件资源包括计算机系统和载体。计算机系统包括中央处理器及其相关的外部设备,如图像监控、磁盘驱动器、打印机和扫描仪等;载体包括数据资源的存储介质材料,如硬盘、磁带和光盘等。
    软件资源包括所有信息处理调用的指令,包括指示和控制计算机硬件的操作性指令(程序)和信息处理中使用的过程指令。程序包括操作系统程序、电子表格程序、文字处理程序等。过程包括数据输入流程、错误改正流程、数据传送流程等。
    数据资源包括:由数字、字母以及其他字符组成,描述组织活动和其他事情的字母数字型数据;句子与段落组成的文本数据;图形和图表形式的图像数据;记录人与其他声音的音频数据。
    满足不同需求的、具有各种功能的信息系统构成了信息化社会的基础,它提高了社会各个行业和部门的生产和管理效率,方便了人类的日常生活,推动了社会的发展前进。
    2.?信息系统安全保障
    信息系统处于不断变化的过程,在任何一个时间点上,系统安全状态与其过去的历史密切相关,过去决定现在。因此,信息系统安全保障是与信息系统的规划、设计、实现和运行等生命周期密切相关的。这些活动包括覆盖系统全生命周期的管理活动,系统从无到有的工程活动,系统从概念到设计的架构活动等。
    image

    图1-6说明信息系统安全保障中相关概念之间的关系。
    (1)风险
    信息安全风险产生的因素主要有信息系统自身存在的漏洞和来自系统外部的威胁。信息系统运行环境中存在具有特定威胁动机的威胁源,通过使用各种攻击方法,利用信息系统的各种脆弱性,对信息系统造成一定的不良影响,由此引发信息安全问题和事件。
    (2)保障
    信息安全保障就是针对信息系统在运行环境中所面临的各种风险,制定信息安全保障策略,在策略指导下,设计并实现信息安全保障架构或模型,采取技术、管理等安全保障措施,将风险控制到可接受的范围和程度,从而实现其业务使命。
    (3)使命
    描述了信息系统在设计、执行、测试、运行、维护、废弃整个生命周期中运行的需求和目标。信息系统的使命与其安全保障密不可分,需要通过信息系统安全措施来保障目标的正确执行。随着信息系统面临的威胁及运行环境的变化,安全保障也需要提供相应的保障措施,从而保障信息系统的正确运行。
    风险管理是信息安全保障工作的基本方法。信息安全保障应当以风险管理为基础,针对可能存在的各种威胁和自身弱点,采取有针对性的防范措施。信息安全不是追求绝对的安全,追求的是可管控的安全风险。最适宜的信息安全策略就是最优的风险管理对策,这是一个在有限资源前提下的最优选择问题。信息系统防范措施不足会造成直接损失,会影响业务系统的正常运行,也会造成不良影响和损失。也就是说,信息安全保障的问题就是安全的效用问题,要从经济、技术、管理的可行性和有效性上做出权衡和取舍。

    1.3.2 信息系统安全保障模型

    在国家标准《信息系统安全保障评估框架第一部分:简介和一般模型》(GB/T 20274.1—2006)中描述了信息系统安全保障模型,该模型包含保障要素、生命周期和安全特征3个方面,如图1-7所示。
    其中,安全特征是指信息系统是信息产生、传输、存储和处理的载体,信息系统保障的基本目标就是保证其所创建、传输、存储和处理信息的保密性、完整性和可用性;生命周期是指信息系统安全保障应贯穿信息系统的整个生命周期,包括规划组织、开发采购、实施交付、运行维护和废弃5个阶段,以获得信息系统安全保障能力的持续性;保障要素是指信息系统安全保障需要从技术、工程、管理和人员4个领域进行综合保障,由合格的信息安全专业人员,使用合格的信息安全技术和产品,通过规范、可持续性改进的工程过程能力和管理能力进行建设及运行维护,保障信息系统安全。
    image

    由图1-7可以看出,该信息系统安全保障模型将风险和策略作为信息系统安全保障的基础和核心。首先,强调信息系统安全保障持续发展的动态安全模型,即信息系统安全保障应该贯穿于整个信息系统生命周期的全过程;其次,强调综合保障的观念,信息系统的安全保障是通过综合技术、管理、工程与人员的安全保障来实施和实现信息系统的安全保障目标,通过对信息系统的技术、管理、工程和人员的评估,提供对信息系统安全保障的信心;第三,以风险和策略为基础,在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素,从而使信息系统安全保障实现信息安全的安全特征,达到保障组织机构执行其使命的根本目的。
    在这个模型中,更强调信息系统所处的运行环境、信息系统的生命周期和信息系统安全保障的概念。信息系统生命周期有各种各样的模型,信息系统安全保障模型中的信息系统生命周期模型是基于这些模型的一个简单、抽象的概念性说明模型,它的主要用途在于对信息系统生命周期模型及保障方法进行说明。在信息系统安全保障具体操作时,可根据实际环境和要求进行改动和细化。强调信息系统生命周期,是因为信息安全保障是要达到覆盖整个生命周期的、动态持续性的长效安全,而不是仅在某时间点下保证安全性。
    1.?信息系统安全保障安全特征
    信息安全保障的安全特征就是保护信息系统所创建、传输、存储和处理信息的保密性、完整性和可用性等安全特征不被破坏。但信息安全保障的目标不仅仅是保护信息和信息处理设施等资产的安全,更重要的是通过保障资产的安全来保障信息系统的安全,进而来保障信息系统所支撑业务的安全,从而达到实现组织机构使命的目的。
    2.?信息系统安全保障生命周期
    在信息系统安全保障模型中,信息系统的生命周期和保障要素不是相互孤立的,它们相互关联、密不可分,图1-8为信息系统安全保障生命周期的安全保障要素。
    信息系统的整个生命周期可以抽象成计划组织、开发采购、实施交付、运行维护和废弃五个阶段,在运行维护阶段变更,以产生反馈,形成信息系统生命周期完整的闭环结构。在信息系统生命周期中的任何时间点上,都需要综合信息系统安全保障的技术、管理、工程和人员保障要素。下面分别对这五个阶段进行简要介绍。
    image

    (1)计划组织阶段
    单位的使命和业务要求产生了信息系统安全保障建设和使用的需求。在此阶段,信息系统的风险及策略应加入至信息系统建设和使用的决策中,从信息系统建设开始就应该综合考虑系统的安全保障要求,使信息系统的建设和信息系统安全建设同步规划、同步实施。
    (2)开发采购阶段
    开发采购阶段是计划组织阶段的细化、深入和具体体现。在此阶段,应进行系统需求分析、考虑系统运行要求、设计系统体系以及相关的预算申请和项目准备等管理活动,克服传统的、基于具体技术或产品的片面性,基于系统需求、风险和策略,将信息系统安全保障作为一个整体进行系统的设计和建设,建立信息系统安全保障整体规划和全局视野。组织可以根据具体要求,评估系统整体的技术、管理安全保障规划或设计,保证对信息系统的整体规划满足组织机构的建设要求和国家、行业或组织机构的其他要求。
    (3)实施交付阶段
    在实施交付阶段,单位可以对承建方的安全服务资格和信息安全专业人员资格有所要求,确保施工组织的服务能力,还可以通过信息系统安全保障的工程保障对施工过程进行监理和评估,确保最终交付系统的安全性。
    (4)运行维护阶段
    信息系统进入运行维护阶段后,需要对信息系统的管理、运行维护和使用人员的能力等方面进行综合保障,这是信息系统得以安全、正常运行的根本保证。此外,信息系统投入运行后并不是一成不变的,它随着业务和需求的变更、外界环境的变更产生新的要求或增强原有的要求,重新进入信息系统的计划组织阶段。
    (5)废弃阶段
    当信息系统的保障不能满足现有要求时,信息系统进入废弃阶段。
    通过在信息系统生命周期的所有阶段融入信息系统安全保障概念,确保信息系统的持续动态安全保障。
    3.?信息系统安全保障要素
    在空间维度上,信息系统安全需要从技术、工程、管理和人员4个领域进行综合保障。在安全技术方面,不仅要考虑具体的产品和技术,更要考虑信息系统的安全技术体系架构;在安全管理方面,不仅要考虑基本安全管理实践,更要结合组织特点建立相应的安全管理体系,形成长效和持续改进的安全管理机制;在安全工程方面,不仅要考虑信息系统建设的最终结果,更要结合系统工程的方法,注重工程过程各个阶段的规范化实施;在人员安全方面,要考虑与信息系统相关的所有人员(包括规划者、设计者、管理者、运行维护者、评估者、使用者等)所应具备的信息安全专业知识和能力。
    (1)信息安全技术
    常用信息安全技术主要包括以下类型。
    1)密码技术:密码技术及应用涵盖了数据处理过程的各个环节,如数据加密、密码分析、数字签名、身份识别和秘密分享等。通过以密码学为核心的信息安全理论与技术来保证达到数据的机密性和完整性等要求。
    2)访问控制技术:访问控制技术是在为用户提供系统资源最大限度共享的基础上,对用户的访问权进行管理,防止对信息的非授权篡改和滥用。访问控制对经过身份鉴别后的合法用户提供所需要的且经过授权的服务,拒绝用户越权的服务请求,保证用户在系统安全策略下有序工作。
    3)网络安全技术:网络安全技术包括网络协议安全、防火墙、入侵检测系统/入侵防御系统(Intrusion Prevention System,IPS)、安全管理中心(Security Operations Cente,SOC)、统一威胁管理(Unified Threat Management,UTM)等。这些技术主要是保护网络的安全,阻止网络入侵攻击行为。防火墙是一个位于可信网络和不可信网络之间的边界防护系统。防病毒网关对基于超文本传输协议(Hypertext Transfer Protocol,HTTP)、文件传输协议(File Transfer Protocol,FTP)、简单邮件传送协议(Simple Mail Transfer Protocol,SMTP)、邮局协议版本3(Post Office Protocol 3,POP3)、安全超文本传输协议(Hypertext Transfer Protocol over Secure Socket Layer,HTTPS)等入侵网络内部的病毒进行过滤。入侵检测系统是一种对网络传输进行即时监视,在发现可疑传输时发出警报的网络安全设备。入侵防御系统是监视网络传输行为的安全技术,它能够即时的中断、调整或隔离一些异常或者具有伤害性的网络传输行为。
    4)操作系统与数据库安全技术:操作系统安全技术主要包括身份鉴别、访问控制、文件系统安全、安全审计等方面。数据库安全技术包括数据库的安全特性和安全功能,数据库完整性要求和备份恢复,以及数据库安全防护、安全监控和安全审计等。
    5)安全漏洞与恶意代码防护技术:安全漏洞与恶意代码防护技术包括减少不同成因和类别的安全漏洞,发现和修复这些漏洞的方法;针对不同恶意代码加载、隐藏和自我保护技术的恶意代码的检测及清除方法等。
    6)软件安全开发技术:软件安全开发技术包括软件安全开发各关键阶段应采取的方法和措施,减少和降低软件脆弱性以应对外部威胁,确保软件安全。
    (2)信息安全管理
    信息安全管理主要包含以下内容。
    1)信息安全管理体系。信息安全管理体系是整体管理体系的一部分,也是组织在整体或特定范围内建立信息安全方针和目标,并完成这些目标所用方法的体系。基于对业务风险的认识,信息安全管理体系包括建立、实施、运作、监视、评审、保持和改进信息安全等一系列管理活动,它是组织结构、方针策略、计划活动、目标与原则、人员与责任、过程与方法、资源等诸多要素的集合。
    2)信息安全风险管理。信息安全管理就是依据安全标准和安全需求,对信息、信息载体和信息环境进行安全管理以达到安全目标。风险管理贯穿于整个信息系统生命周期,包括背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询6个方面的内容。其中,背景建立、风险评估、风险处理和批准监督是信息安全风险管理的4个基本步骤,监控审查和沟通咨询则贯穿于这4个基本步骤的始终。
    3)信息安全控制措施。信息安全控制措施是管理信息安全风险的具体手段和方法。将风险控制在可接受的范围内,这依赖于组织部署的各种安全措施。合理的控制措施集应综合技术、管理、物理、法律、行政等各种方法,威慑安全违规人员甚至犯罪人员,预防、检测安全事件的发生,并将遭受破坏的系统恢复到正常状态。确定、部署并维护这种综合全方位的控制措施是组织实施信息安全管理的重要组成部分。通常,组织需要从安全方针、信息安全组织、资产管理、人力资源安全、物理和环境安全、通信和操作管理、访问控制、信息系统获取开发和维护、信息安全事件管理、业务连续性管理和符合性11个方面,综合考虑部署合理的控制措施。
    4)应急响应与灾难恢复。部署信息安全控制措施的目的之一是防止发生信息安全事件,但由于信息系统内部固有的脆弱性和外在的各种威胁,很难彻底杜绝信息安全事件的发生。所以,应及时有效地响应与处理信息安全事件,尽可能降低事件损失,避免事件升级,确保在组织能够承受的时间范围内恢复信息系统和业务的运营。应急响应工作管理过程包括准备、检测、遏制、根除、恢复和跟踪总结6个阶段。信息系统灾难恢复管理过程包括灾难恢复需求分析、灾难恢复策略制定、灾难恢复策略实现及灾难恢复预案制定与管理4个步骤。应急响应与灾难恢复关系到一个组织的生存与发展。
    5)信息安全等级保护。信息安全等级保护是我国信息安全管理的一项基本制度。它将信息系统按其重要程度以及受到破坏后对相应客体(即公民、法人和其他组织的)合法权益、社会秩序、公共利益和国家安全侵害的严重程度,将信息系统由低到高分为5级。每一保护级别的信息系统需要满足本级的基本安全要求,落实相关安全措施,以获得相应级别的安全保护能力,对抗各类安全威胁。信息安全等级保护的实施包括系统定级、安全建设整改、自查、等级测评、系统备案、监督检查6个过程。
    (3)信息安全工程
    规范的信息安全工程过程包括发掘信息保护需要、定义信息系统安全要求、设计系统安全体系结构、开发详细安全设计和实现系统安全5个阶段及相应活动,同时还包括对每个阶段过程信息保护有效性的评估。
    信息系统安全工程(Information System Security Engineering,ISSE)是一种信息安全工程方法,它从信息系统工程生命周期的全过程来考虑安全性,以确保最终交付的工程的安全性。
    系统安全工程能力成熟度模型(Systems Security Engineering Capability Maturity Model,SSE-CMM)描述了一个组织的系统安全工程过程必须包含的基本特征,这些特征是完善的安全工程保证,也是系统安全工程实施的度量标准,同时还是一个易于理解的评估系统安全工程实施的框架。应用SSE-CMM可以度量和改进工程组织的信息安全工程能力。
    信息安全工程监理,是信息安全工程实施过程中一种常见的保障机制。
    (4)信息安全人员
    在信息安全保障诸要素中,人是最关键也是最活跃的要素。网络攻防对抗,最终较量的是攻防双方人员的能力。组织机构应通过以下几方面的努力,建立一个完整的信息安全人才体系。
    对所有员工,进行信息安全保障意识教育,诸如采取内部培训、在组织机构网站上发布相关信息等方式,增强所有员工的安全意识;对信息系统应用岗位的员工,进行信息安全保障基本技能培训;对信息安全专业人员,应通过对信息安全保障、管理、技术、工程,以及信息安全法规、政策与标准等知识的学习,全面掌握信息安全的基本理论、技术和方法,丰富的信息安全经验需要通过该岗位的长期工作积累获得;信息安全研发人员,除了需要具备信息安全基本技能外,还应培训其安全研发相关知识,包括软件安全需求分析、安全设计原则、安全编码、安全测试等内容;信息安全审计人员,则需要通过培训使其掌握信息安全审计方法、信息安全审计的规划与组织、信息安全审计实务等内容。
    思考题
    1.?在各个信息安全发展阶段,组织面临的主要威胁与采取的主要防护措施有什么不同?信息安全的发展趋势是怎样的?
    2.?信息安全问题产生的根本原因有哪些?这些原因之间的关系如何?
    3.?信息安全保障要素有哪些?这些保障要素与信息系统生命周期之间的关系如何?
    4.?利用P2DR模型进行信息安全保障的思想和原理是什么?
    5.?如何理解信息安全保障技术框架的深度防御战略?

    展开全文
  • 本节书摘来自华章出版社《信息安全保障》一书中的第1章,第1.2节,作者 吴世忠 江常青 孙成昊 李华 李静,更多章节内容可以访问云栖社区“华章计算机”公众号查看 1.2 信息安全保障概念与模型 信息技术发展到网络化...
  • 保障预案.BAS

    2013-04-18 13:17:48
    excel自动填写保障预案,不需要在一次次的复制黏贴
  • DDOS应急预案(不用修改).docx XSS应急预案(已完成).docx 主数据库服务器宕机应急预案(不用修改).docx 开发服务器应急恢复预案(不用修改).dox 服务器系统应急预案报告(缺人员名单).docx 机房应急预案(不用...
  • 第一章信息安全保障 1.1 信息安全保障基础 1.1.1信息安全定义 信息安全定义:ISO对信息安全的定义:“为数据处理系统建立和采取技术、管理的安全保护,保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到...
  • 指导意见中用基本形势,总体要求,主要任务,保障支撑四个章节全面阐述了先进制造业融入互联网发展的新工业革命的历史契机,是把互联网信息技术融入到先进制造业,推动制造业向工业化、智能化、信息化发展的新兴业态...
  • 一个安全保障体系的整套解决方案

    千次阅读 2005-01-05 11:32:00
    随着计算机技术应用的日益普及,人们发现计算机安全成了当务之急。需要解决的问题是确保信息系统中硬件、软件及正在处理、存储、传输信息的保密性、完整性和可用性。涉及的安全性有:完整性——操作系统的正确性和...
  • 1.信息安全简介 勒索病毒----2013年9月CryptoLocker “永恒之蓝”:主要是利用Windows系统的共享漏洞:445端口等。 “永恒之蓝”传播的勒索病毒以ONION和WNCRY两个家族为主,受 害机器的磁盘文件会被篡改为相应...
  • 本模板为网络安全应急预案制度模板,可用于单位安全测评、等保测评、信息安全和保密管理等方面的制度建设,涵盖内容主要有应急处理和灾难恢复、应急计划、应急计划的实施保障、应急演练等制度的要求。

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 102,370
精华内容 40,948
关键字:

安全保障方案