【XX医院】信息安全建设方案-XXXX-01-15701.docx

XXXX医院信息安全建设方案二一 六 年年 一 月· 第贰页目录一. 概概述1(一) 项目背背景1(二) 建设目目标1(三) 依据标标准规范范2(四) 建设原原则31. 全全方位提提升网络络和系统统实体的的安全性性、抗攻攻击性332. 信信息系统统的可用用可靠性性、安全全性和保保密性333. 强强调系统统运行状状态的可可控性334. 安安全系统统的可管管理性335. 需需求、风风险、代代价平衡衡的原则则36. 先先进性原原则47. 可可扩展性性原则448. 多多重保护护原则449. 标标准性原原则410. 易操作作性原则则4二. 医医院网络络现状及及需求分分析5(一) 网络结结构描述述5(二) 应用系系统描述述 5(三) 医院网网络安全全现状  5(四) 医院网网络的安安全需求求6三. IIT流程程规范化化改进咨咨询服务务7(一) 关于IIT流程程改进咨咨询7(二) 提供IIT流程程知识管管理及任任务管理理系统及及服务77(三) IT流流程改进进目标77(四) IT流流程改进进原则77(五) IT流流程改进进服务需需求说明明81. 建建立ITT流程体体系规划划和持续续改进机机制82. 建建立信息息中心部部门基本本制度883. 建建立医院院信息化化管理制制度94. 建建立完善善系统维维护流程程95. 建建立信息息安全管管理制度度106. 建建立应急急预案与与演练机机制1007. 建建立项目目管理制制度1118. 建建立统计计工作制制度1119. 编编制详细细作业指指导书SSOP111四. 安安全建设设方案112(一) MPDDRR安安全模型型12(二) 信息安安全拓扑扑图133(三) 网络防防火墙系系统1441. 产产品概述述142. 产产品特点点14(四) WEBB安全防防护系统统171. 产产品概述述172. 产产品特点点18(五) 运维审审计系统统231. 产产品功能能23(六) 上网行行为管理理系统2291. 产产品功能能292. 产产品的技技术优势势34(七) 数据库库审计系系统（防防统方系系统）3361. 产产品概述述362. 特特色与优优势366(八) 终端安安全管理理系统3391. 主主要功能能特点3392. 详详细功能能描述440五. 信信息安全全专业服服务433(一) 安全规规划服务务431. 总总体架构构432. 安安全建设设规划446(二) 安全评评估服务务481. 服服务描述述482. 安安全扫描描工具448(三) 安全加加固服务务491. 服服务描述述492. 服服务内容容50(四) 安全巡巡检服务务51(五) 应急响响应服务务511. 服服务承诺诺512. 安安全事件件预警5513. 应应急响应应规范5534. 应应急响应应流程554(六) 安全信信息服务务55(七) 安全培培训服务务55(八) 信息化化安全服服务清单单55六. 信信息安全全建设方方案清单单57一. 概述(一) 项目背景景医院是一一个信息息和技术术密集型型的行业业，一般般其计算算机网络络划分为为业务网网络和办办公网络络，作为为一个现现代化的的医疗机机构的计计算机网网络,除除了要满满足高效效的内部部自动化化办公需需求以外外,还需需要对外外界的通通讯保证证畅通。结结合医院院复杂的的HISS、RIIS、PPACSS等应用用系统，需需要网络络必须能能够满足足数据、语语音、图图像等综综合业务务的传输输要求，所所以需要要在网络络上应运运用多种种高性能能设备和和先进技技术来保保证系统统的正常常运作和和稳定的的效率。同同时医院院的网络络系统连连接着IInteerneet、医医保专网网等网络络，访问问人员和和物理上上的网路路边界比比较复杂杂，所以以如何保保证医院院网络系系统中的的数据及及应用的的安全显显得尤为为重要。 在日新月月异的现现代化社社会进程程中，计计算机网网络几乎乎延伸到到了世界界每一个个角落，它它不停的的改变着着我们的的工作生生活方式式和思维维方式，但但是，计计算机信信息网络络安全的的脆弱性性和易受受攻击性性是不容容忽视的的。由于于网络设设备、计计算机操操作系统统、网络络协议等等安全技技术上的的漏洞和和管理体体制上的的不严密密，都会会使计算算机网络络受到威威胁。我我们可以以想象一一下，对对于一个个需要高高速信息息传达的的现代化化医院，如如果遭到到致命攻攻击，会会给社会会造成多多大的影影响。  在医院行行业的信信息化建建设过程程中，信信息安全全的建设设虽然只只是一个个很小的的部分，但但其重要要性不容容忽视。便便捷、开开放的网网络环境境，是医医院信息息化建设设的基础础，在数数据传递递和共享享的过程程当中，业业务数据据的安全全性要切切实地得得到保障障，才能能保障医医院信息息化业务务系统的的正常运运行。然然而，如如果我们们的数据据面临着着越来越越多的安安全风险险，将对对业务的的正常运运行带来来威胁。 所以，在在医院的的信息化化建设过过程中，我我们应当当正视网网络及系系统可能能面临的的各种安安全风险险，对网网络威胁胁给予充充分的重重视。为为了医院院信息网网络的安安全稳定定运行，确确保医院院信息系系统建设设项目的的顺利实实施，结结合具体体的网络络和应用用系统现现状，根根据医院院目前的的计算机机信息网网网络特特点及安安全需求求，本着着切合实实际、保保护资产产、着眼眼未来医医疗信息息化动态态发展的的原则，提提出本安安全建设设方案。(二) 建设目标标医院将通通过本次次网络系系统及网网络安全全规划与与建设，将将医院的的网络建建设成为为一个具具有现代代化、多多功能、结结构化、智智能化的的综合性性网络系系统。医医院网络络系统是是为医院院内部提提供网络络信息系系统应用用的ITT基础平平台，包包括PAACS/RISS系统、HHIS/OA信信息系统统、管理理、科研研和多业业务的综综合信息息服务网网络系统统。 首先，通通过网络络系统安安全进行行全面的的升级改改造，建建立可为为医院内内部医疗疗信息管管理、科科研提供供一个技技术先进进、高安安全性的的信息化化网络环环境。同同时院内内的医疗疗信息管管理（PPACSS/RIIS/HHIS系系统）、多多媒体系系统、远远程会诊诊系统、网网上挂号号、数据据库管理理系统等等，都可可以通过过医院信信息网络络平台安安全、高高效的网网络来运运行和工工作。满满足医院院内外网网的通讯讯要求。包包括Innterrnett服务远远程移动动办公服服务、远远程医疗疗协助、网网上挂号号等数据据信息下下载及视视频会议议等。   在适应网网络发展展趋势和和医院的的实际网网络需求求基础上上，既要要能满足足同济医医院的信信息网络络系统使使用需求求，并兼兼顾今后后网络系系统易扩扩充性和和可管理理性。通通过对网网络系统统络进行行统一的的整体设设计、规规划，为为医院网网络系统统打造一一个长期期、稳定定、高效效、安全全的运行行环境，以以及医院院未来的的发展和和建设打打下良好好的网络络平台基基础。并并将重点点放在系系统的稳稳定性、开开放性、可可扩展能能力上，使使系统持持续稳定定运行，既既可满足足现有的的医疗信信息系统统的应用用需要，又又可方便便满足今今后系统统的升级级及应用用需求，避避免重复复投资。(三) 依据标准准规范l GB1778599-19999 计算机机信息系系统安全全保护等等级划分分准则l GB/TT 2222400-20008 信息安安全技术术 信息息系统安安全等级级保护定定级指南南l GB/TT 2222399-20008 信息安安全技术术 信息息系统安安全等级级保护基基本要求求l 信息系统统安全等等级保护护实施指指南 （征征求意见见稿）l 信息系统统安全等等级保护护评估准准则 （征征求意见见稿）l GB/TT 2000088-20005 信息安安全技术术 操作作系统安安全评估估准则l GB/TT 2000099-20005 信息安安全技术术 数据据库管理理系统安安全评估估准则l GB/TT 2000100-20005 信息安安全技术术 包过过滤防火火墙评估估准则l GB/TT 2000111-20005 信息安安全技术术 路由由器安全全评估准准则l GB/TT 2110522-20007 信息安安全技术术 信信息系统统物理安安全技术术要求l GB/TT 1997155.2-20005 信信息技术术 信息息技术安安全管理理指南 第2部部分：管管理和规规划信息息技术安安全l GB/TT 2009844-20007信信息安全全技术 信息安安全风险险评估规规范l GB/TT 1997166-20005信信息技术术 信息息安全管管理实用用规则(四) 建设原则则1. 全方位提提升网络络和系统统实体的的安全性性、抗攻攻击性安全性设设计从全全方位、多多层次加加以考虑虑，即通通过物理理层、链链路层、网网络层、系系统层、应应用层等等的安全全技术措措施以及及安全管管理来确确实保证证系统的的整体安安全。保保证各种种相关的的网络和和系统具具有相当当的抗攻攻击性，能能够检测测并及时时对各种种攻击行行为做出出响应。2. 信息系统统的可用用可靠性性、安全全性和保保密性首先关注注系统的的可用性性和可靠靠性，在在可用可可靠性基基础上，进进一步强强调安全全性和保保密性问问题，即即信息在在存储或或传输过过程中保保持不被被修改、不不被破坏坏和不丢丢失。对对信息的的使用进进行相关关的授权权。信息息的传输输和传播播的过程程进行相相关的控控制、监监视和跟跟踪。3. 强调系统统运行状状态的可可控性强调对全全网上各各种资源源的度量量和监管管，对整整个网络络和系统统的相关关状况进进行实时时监控，对对应用服服务、数数据和资资源的使使用进行行监控。对对网络故故障、操操作错误误、应用用程序错错误、硬硬件故障障、系统统软件错错误及计计算机病病毒所产产生的潜潜在威胁胁加以控控制。4. 安全系统统的可管管理性采用“技技术管管理”并重的的模式，强强调系统统的可管管理性，通通过管理理措施、机机制和技技术相结结合，做做到事先先防范，事事后补救救；从人人的角度度考虑，通通过安全全教育与与培训，提提高工作作人员安安全方面面的意识识和技术术素质；通过建建立各种种安全管管理制度度，提高高员工的的安全意意识，规规范员工工的行为为，主动动自觉地地利用各各种工具具去加强强安全性性；通过过各种技技术手段段，建立立所有相相关安全全产品的的管理体体系。5. 需求、风风险、代代价平衡衡的原则则对任一网网络，绝绝对安全全难以达达到，也也不一定定是必要要的。对对一个网网络进行行实际研研究（包包括任务务、性能能、结构构、可靠靠性、可可维护性性等），并并对网络络面临的的威胁及及可能承承担的风风险进行行定性与与定量相相结合的的分析，然然后制定定规范和和措施，确确定本系系统的安安全策略略。6. 先进性原原则医院的安安全有一一个先进进水平的的安全。具具体的技技术和技技术方案案应保证证整个系系统在当当前具有有的技术术先进性性。7. 可扩展性性原则医院的信信息化安安全建设设方案设设计是针针对其自自身设计计的安全全方案,适应整整个医院院网络系系统的现现状以及及需求,所采取取的措施施随着网网络性能能及安全全需求的的变化而而变化,容易升升级,具具有良好好的扩展展性。8. 多重保护护原则任何安全全措施都都不是绝绝对安全全的，都都可能被被攻破。但但是建立立一个多多重保护护系统，各各层保护护相互补补充，当当一层保保护被攻攻破时，其其它层保保护仍可可保护信信息的安安全。9. 标准性原原则设计医院院的信息息化安全全,要根根据国家家相关的的法律法法规、技技术规范范和标准准，同时时也符合合国家卫卫生厅相相关信息息化建设设标准。10. 易操作性性原则大部分的的安全措措施需要要人为去去完成，如如果措施施过于复复杂，对对人员的的要求过过高，本本身就降降低了安安全性。其其次，措措施的采采用不能能影响系系统的正正常运行行。二. 医院网络络现状及及需求分分析(一) 网络结构构描述通过对医医院现有有结构进进行了解解和分析析，可以以看出医医院网络络大致可可以分为为业务内内网和办办公外网网，业务务网络采采用三层层网络结结构，通通过核心心交换机机将医院院各科室室进行互互联。并并在业务务网络单单独设立立和一个个内部核核心业务务应用服服务器区区域，包包含HIIS系统统、RIIS系统统、PAACS系系统和档档案管理理系统等等应用服服务器。同同时为了了满足内内部应用用服务器器与办公公网DMMZ区域域服务器器进行数数据交换换需求，在在业务网网络和办办公网络络边界部部署了一一台防火火墙设备备进行两两个网络络之间的的隔离，并并在防火火墙划分分了一个个内部网网络的DDMZ区区域进行行与外部部DMZZ区域进进行数据据交换的的中转站站。 外部办公公网络大大致可以以划分为为办公网网和DMMZ区域域，在外外部网络络的互联联网边界界通过核核心交换换机的防防火墙板板卡进行行边界的的隔离和和划分DDMZ区区域，通通过在外外网的核核心交换换机上做做NATT和PAAT对外外发布统统计医院院DMZZ区域的的应用。(二) 应用系统统描述  在医院业业务网络络中主要要有HIIS系统统、PAACS系系统、RRIS系系统和档档案管理理系统等等服务器器,这些些重要的的应用服服务器构构成医院院业务网网络的核核心。在在应用系系统的部部署架构构上，目目前应用用系统、中中间件和和数据库库系统采采用一体体化部署署方式，及及数据库库和应用用系统都都部署在在一台服服务器上上，各应应用系统统架构大大多采用用了B/S、CC/S架架构。在在应用服服务器操操作系统统上，大大多采用用WINNDOSS操作系系统。  (三) 医院网络络安全现现状 从医院目目前的网网络结构构上来看看，在外外部办公公网络的的互联网网边界主主要采用用了防火火墙系统统，但是是由于DDMZ区区域应用用的安全全主要依依靠防火火墙的地地址映射射和访问问控制进进行保护护，由于于应用系系统本身身可能存存在一些些安全漏漏洞或者者软件设设计上的的缺陷，外外网非法法访者可可直接通通过防火火墙允许许的端口口对DMMZ区域域的应用用服务器器进行注注入、跨跨站、拒拒绝服务务、缓冲冲溢出攻攻击。给给医院网网络造成成极大的的威胁。 在外部办办公网络络和业务务网络的的边界上上，采用用网闸做做网络边边界的隔隔离设备备，但是是由于设设备采购购时间较较长，设设备比较较老旧，且且是百兆兆级别的的设备，无无法满足足现有的的网络核核心骨干干千兆乃乃至扩展展到万兆兆的网络络环境的的需求。 (四) 医院网络络的安全全需求信息安全全涉及到到信息的的保密性性(Coonfiidenntiaalitty)、完完整性(Inttegrrityy)、可可用性(Avaailaabillityy)。基于以上上的需求求分析，我我们认为为网络系系统可以以实现以以下安全全目标：Ø 保护网络络系统的的可用性性 Ø 保护网络络系统服服务的连连续性 Ø 防范网络络资源的的非法访访问及非非授权访访问 Ø 防范入侵侵者的恶恶意攻击击与破坏坏 Ø 保护信息息通过网网上传输输过程中中的机密密性、完完整性 Ø 防范病毒毒的侵害害 Ø 实现网络络的安全全管理三. IT流程程规范化化改进咨咨询服务务近几年来来医院的的信息化化的发展展，为提提供医院院在医务务服务质质量上、医医务事务务处理效效率上进进一步的的提高，随随着医院院各类医医务信息息系统的的上线、升升级和改改造，因因各类信信息系统统的增加加，随之之而来的的是在IIT部门门工作量量上大大大的增大大，为进进一步保保障全院院医务系系统热持持续运作作，全面面提升和和优化医医院信息息化业务务运维管管理水平平，提高高IT部部门业务务服务质质量，保保障医疗疗应用安安全运行行。(一) 关于ITT流程改改进咨询询咨询服务务的ITT流程范范围涵盖盖建立IIT流程程规划和和持续改改进机制制、建立立信息中中心部门门基本制制度、建建立医院院信息化化管理制制度、建建立完善善系统维维护流程程、建立立信息安安全管理理制度、建建立应急急预案与与演练机机制、建建立项目目管理制制度、建建立统计计工作制制度、编编制（预预算、采采购、财财产管理理）详细细作业指指导书以以及指导导实施。管理咨询询主要集集中流程程体系规规划、流流程和模模板的编编制或修修改完善善，对信信息中心心按照流流程规范范开展的的流程实实施工作作提要的的答疑或或抽查辅辅导，辅辅助建立立长效的的流程改改进机制制。(二) 提供ITT流程知知识管理理及任务务管理系系统及服服务提供此软软件及相相应的安安装、调调试和运运行维护护服务。软件功能能主要涵涵盖流程程知识管管理和流流程改进进配套的的任务管管理。流程管理理软件所所管理的的流程范范围限于于信息中中心范围围内的IIT流程程、模板板及质量量记录；任务管管理软件件限于信信息中心心流程改改进的任任务管理理。(三) IT流程程改进目目标l 对照ITT流程有有关规范范，评估估信息中中心现有有IT流流程规范范的欠缺缺或差距距,制定定流程计计划并加加以落实实。l 引入流程程规范和和行业先先进流程程经验，补补充编制制新的流流程制度度、模板板或完善善现有流流程制度度，使信信息中心心IT流流程体系系升级以以达到完完整化、规规范化。l 指导流程程规范的的落实和和持续改改进，使使信息中中心ITT建设与与运行维维护流程程进入不不断改进进的良性性循环。(四) IT流程程改进原原则l 流程改进进咨询活活动需要要采用规规范化、科科学化方方法，符符合流程程管理改改进咨询询有关规规范。l 本项目范范围所属属的流程程制度的的编制及及实施应应遵循IIT流程程规范的的相关标标准或要要求，例例如ISSO90001、三三甲ITT信息化化管理要要求等。l IT流程程应容易易实施，切切合实际际需求，解解决实际际问题。l 既重视编编制或完完善工作作流程，更更重视建建立持续续改进的的机制。l 利用流程程知识和和流程改改进任务务管理系系统,以以科学手手段提高高流程改改进的执执行力和和效率,管理系系统需要要具备易易操作、适适应性好好的特性性。(五) IT流程程改进服服务需求求说明1. 建立ITT流程体体系规划划和持续续改进机机制任务类别别任务内容容备注对流程体体系现状状水平进进行评估估通过访谈谈、检查查，对照照ISOO90001和三三甲医院院信息化化管理要要求等规规范评估估现有IIT流程程制度的的缺漏或或差异规划新流流程体系系架构规划流程程体系目目标、方方针；规规划流程程体系各各流程之之间的输输入输出出或变更更互动关关系确定流程程改进的的职责分分工编制或修修改ITT流程改改进的职职责分工工和岗位位设置说说明定义好流流程有关关的角色色一览表表PDCAA阶段管管理方法法论和制制度编制或修修改完善善流程改改进的计计划管理理和报告告制度（年年度、月月度度目目标计划划与总结结,按PPDCAA方法）IT流程程水平评评估方法法论和制制度编制或修修改完善善一套针针对ITT流程规规范化水水平的检检查评估估办法，用用于评估估IT流流程规范范所处的的水平(对比有有关规范范的流程程覆盖率率或完整整性、执执行情况况和执行行效果)对信息中中心的具具体执行行过程提提供答疑疑辅导2. 建立信息息中心部部门基本本制度任务类别别任务内容容备注信息中心心组织结结构编制或修修改信息息中心组组织结构构说明编制或修修改完善善岗位一一览表编制或修修改完善善岗位说说明模板板对部门按按新模板板填写的的各岗位位说明书书提供修修改指导导对信息中中心按新新模板编编制的岗岗位说明明提供修修改辅导导信息中心心计划/总结编制或修修改完善善信息中中心内部部计划与与报告制制度、模模板部门绩效效管理编制或修修改完善善信息中中心职员员绩效管管理制度度(包含目目标设定定、绩效效计划、绩绩效沟通通、绩效效分解、绩绩效评估估的总体体要求)对信息中中心按照照新制度度、模板板开展的的绩效指指标定义义和管理理具体方方案提供供答疑辅辅导。信息中心心培训编制或修修改完善善信息中中心培训训发展制制度其它有关关制度编制或修修改值班班制度编制或完完善考勤勤休假制制度编制或修修改会议议管理制制度3. 建立医院院信息化化管理制制度任务类别别任务内容容备注协助制定定策略方方法协助分析析医院信信息化管管理的挑挑战和策策略方法法（总体体原则、方方法、措措施）设立院级级领导机机构编制或修修改完善善院级组组织机构构说明信息化沟沟通机制制编制或修修改完善善院级信信息化沟沟通制度度、模板板制定中长长期计划划编制或修修改完善善中长期期计划制制度和模模板IT信息息化绩效效管理确定ITT信息化化主要宏宏观指标标定义(简单实实用KPPI)编制或修修改完善善IT绩绩效评估估的流程程制度制定绩效效的公示示展示办办法对信息中中心主持持的有关关活动提提供答疑疑辅导项目需求求与立项项审批编制或修修改完善善信息化化项目立立项审批批制度（各单位位需求申申报，项项目估算算，立项项审批等等）4. 建立完善善系统维维护流程程任务类别别任务内容容备注日常缺陷陷维护制制度编制或完完善软硬硬件缺陷陷报告与与维护管管理制度度(故障级级别定义义;维修修工单报报告与处处理跟踪踪;事件件跟踪与与升级管管理,含含厂商)软件变更更安装编制或完完善软件件版本更更新制度度（测试试验证、风风险分析析及应急急恢复、安安装控制制、装后后验证）系统安装装、变更更编制或完完善系统统安装与与配置变变更流程程(方案评评估、风风险分析析、审批批、记录录)值班制度度编制或修修改完善善信息值值班、交交接班制制度，有有完整的的日常运运维记录录和值班班记录，及及时处置置安全隐隐患系统监视视巡查编制或修修改完善善系统巡巡查监视视制度和和记录要要求基础架构构信息管管理编制或修修改完善善基础架架构信息息的建立立与更新新制度，以以便能从从技术架架构信息息中了解解系统网网络架构构与软件件硬件资资源布局局对信息中中心主持持的有关关管理活活动记录录提供检检查辅导导机房管理理制度编制或修修改完善善机房管管理制度度，便于于促进机机房安全全和作业业管理5. 建立信息息安全管管理制度度任务类别别任务内容容备注权限管理理制度编制或修修改完善善权限管管理制度度(权限限分配、授授予与回回收制度度;权限限状态一一览表查查询)病毒防范范编制或修修改完善善病毒防防范管理理制度病人隐私私信息保保护编制或修修改完善善病人隐隐私信息息保护制制度编制或修修改完善善病人隐隐私信息息保护情情况检查查评估制制度定期安全全评估编制或修修改完善善定期进进行系统统安全评评估的制制度(权限管管理执行行情况的的检查、系系统安全全漏洞检检查、安安全监视视措施的的检查、监监视记录录)提供制度度框架，对对信息中中心主持持的有关关活动记记录，提提供评价价指导6. 建立应急急预案与与演练机机制任务类别别任务内容容备注应急预案案编制制制度编制或修修改完善善应急管管理制度度( 预案案覆盖范范围、预预案一览览表清单单编制要要求、预预案编制制要求、预预案审批批、预案案变更要要求、持持续改进进要求 ) (涵盖整整个主机机、数据据库、存存储系统统、网络络瘫痪应应急恢复复措施等等)提供制度度框架，对对信息中中心主持持编写的的具体应应急预案案，提供供评价指指导应急预案案演练验验证制度度编制或修修改完善善预案演演练制度度(演练练的周期期、演练练记录、演演练结果果审定)提供制度度框架，对对信息中中心主持持编写的的具体应应急演练练结果，提提供评价价指导数据备份份检查制制度编制或修修改完善善数据备备份有效效性检查查制度,以保证证数据备备份的可可用性持续改进进机制编制应急急预案编编制、演演练等措措施的持持续改进进要求7. 建立项目目管理制制度任务类别别任务内容容备注项目立项项审批制制度编制或修修改完善善信息化化项目立立项审批批制度（各单位位需求申申报，项项目估算算，立项项审批等等）8. 建立统计计工作制制度任务类别别任务内容容备注系统缺陷陷统计编制或修修改完善善应用报报告的系系统缺陷陷统计制制度与办办法IT工作作统计编制或修修改完善善IT工工作（含含绩效）评评估与统统计办法法(本期期选择若若干宏观观指标统统计试点点)9. 编制详细细作业指指导书SSOP任务类别别任务内容容备注预算管理理编制或修修改完善善预算管管理标准准作业程程序（SSOP）采购管理理编制或修修改完善善采购管管理标准准作业程程序（SSOP）财产管理理编制或修修改完善善财产管管理标准准作业程程序（SSOP）四. 安全建设设方案(一) MPDRRR安全全模型PADIIMEEE模型包包含以下下几个主主要部分分：Pooliccy（安安全策略略）、AAsseessmmentt（安全全评估）、DDesiign（设设计/方方案）、IImpllemeentaatioon（实实施/实实现）、MManaagemmentt/Moonittor（管管理/监监控）、EEmerrgenncy Ressponnse（紧紧急响应应）和EEduccatiion（安安全教育育）。根据PAADIMMEE模模型，网网络安全全需求主主要在以以下几个个方面得得以体现现：（11）制订订网络安安全策略略反映了了组织的的总体网网络安全全需求；（2）通通过网络络安全评评估，提提出网络络安全需需求，从从而更加加合理、有有效地组组织网络络安全工工作；（33）在新新系统、新新项目的的设计和和实现中中，应该该充分地地分析可可能引致致的网络络安全需需求、并并采取相相应的措措施，在在这一阶阶段开始始网络安安全工作作，往往往能够收收到“事半功功倍”的效果果；（44）管理理/监控控也是网网络安全全实现的的重要环环节。其其中既包包括了PP2DRR安全模模型和AAPPDDRR安安全模型型中的动动态检测测内容，也也涵盖了了安全管管理的要要素。通通过管理理/监控控环节，并并辅以必必要的静静态安全全防护措措施，可可以满足足特定的的网络安安全需求求，从而而使既定定的网络络安全目目标得以以实现；（5）紧紧急响应应是网络络安全的的最后一一道防线线。由于于网络安安全的相相对性，采采取的所所有安全全措施实实际上都都是将安安全工作作的收益益（以可可能导致致的损失失来计量量）和采采取安全全措施的的成本相相配比进进行选择择、决策策的结果果。基于于这样的的考虑，在在网络安安全工程程实现模模型中设设置一道道这样的的最后防防线有着着极为重重要的意意义。通通过合理理地选择择紧急响响应措施施，可以以做到以以最小的的代价换换取最大大的收益益，从而而减弱乃乃至消除除安全事事件的不不利影响响，有助助于实现现信息组组织的网网络安全全目标。(二) 信息安全全拓扑图图(三) 网络防火火墙系统统1. 产品概述述下一代防防火墙保保留了状状态检测测防火墙墙的优点点，具有有性能的的同时具具备内容容过滤、入入侵防御御、流量量管理、用用户认证证等多种种应用层层过滤技技术于一一身，弥弥补了状状态检测测防火墙墙的不足足。为用用户提供供了更全全面的深深度过滤滤功能，有有效识别别来自应应用层的的威胁。通过全新新的AMMP+多多核架构构和设计计理念，实实现了高高性能极极速转发发、智能能定位与与管控、应应用精细细识别、多多种应用用层过滤滤技术、虚虚拟防火火墙定制制化安全全及立体体可视化化监控等等一系列列特有功功能；应应用层和和网络层层安全模模块的并并行调度度，提升升了应用用层处理理性能；系统引引擎与安安全引擎擎的用户户态设计计，避免免了在大大流量下下数据报报文分析析对防火火墙性能能的影响响，有效效提高了了整机运运行速度度；友好好的扁平平化风格格界面，配配合直观观的功能能模块设设计，更更加方便便的进行行网络管管理。2. 产品特点点（1）. 独立的管管理口实实现与业业务口分分离专门提供供了管理理口，让让用户的的管理数数据与业业务数据据分离，在在业务数数据量过过大的情情况下，不不会影响响对防火火墙的正正常管理理。同时时，单独独的管理理口使用用户可以以严格限限制连入入管理防防火墙的的方式，保保障更加加安全的的管理防防火墙。（2）. 管理员权权限三权权分立针对管理理员的角角色建立立三权分分立的管管理员帐帐号机制制，将超超级用户户特权集集进行划划分,分分别授予予配置管管理员、安安全管理理员和审审计管理理员。实实现配置置管理、安安全管理理和审计计管理功功能的同同时,也也保证管管理员权权限的隔隔离。防防止因为为管理员员权限过过大所引引起的安安全风险险，也保保证已经经配置完完成的访访问控制制策略不不会出现现未授权权的修改改，及出出现未授授权修改改时可以以保留相相关审计计信息。（3）. 安全隔离离的虚拟拟系统支持通过过虚拟系系统功能能，将下下一代防防火墙虚虚拟成多多个相互互隔离并并独立运运行的虚虚拟防火火墙系统统，每一一个虚拟拟系统都都可以为为用户提提供定制制化的安安全防护护功能，并并可配备备独立的的管理员员账号。在在用户网网络不断断扩展时时，通过过虚拟系系统功能能不仅能能有效降降低用户户网络的的复杂度度，还能能提高网网络的灵灵活性。当当这些相相互隔离离并独立立运行的的虚拟防防火墙系系统需要要通讯时时，可以以通过下下一代防防火墙提提供的虚虚拟接口口实现，而而不需要要通过物物理链路路将它们们进行连连接。（4）. 地理位置置识别下一代防防火墙增增加了地地理位置置识别功功能，可可以将地地理位置置作为配配置安全全策略的的一个属属性。通通过地址址位置识识别用户户可以了了解到不不同地区区当前的的网络使使用情况况，查看看基于地地理位置置的流量量趋势等等，从而而针对不不同的地地理位置置来调整整防火墙墙策略，为为用户的的安全策策略管理理提供一一个新的的控制角角度。（5）. 基于安全全域的攻攻击防护护功能通过基于于安全域域的Flloodd防护和和扫描欺欺骗防护护、IPP地址扫扫描攻击击、端口口扫描以以及异常常包攻击击等防护护手段的的攻击防防护模块块，将包包括SYYN FFloood，IICMPP Flloodd，UDDP FFoodd，IPP Foood， pinng oof ddeatth，TTearrdroop，IIP选项项，TCCP异常常，Smmurff，Frragggle，LLandd，Wiinnuuke等等常见的的攻击行行为检测测集成在在模块中中，使得得用户通通过启用用并配置置攻击防防护模块块，有效效的过滤滤并采取取相应的的措施阻阻止非正正常报文文流入用用户内网网。同时时针对洪洪攻击和和扫描攻攻击，攻攻击防护护模块允允许用户户通过限限制报文文的阈值值，从而而达到保保护内部部网络免免受恶意意洪攻击击的威胁胁，保证证内部网网络及内内部服务务器正常常运行。攻攻击防护护模块能能及时向向用户输输出安全全告警，并并在系统统状态中中实时显显示当前前排行前前十位的的攻击行行为，让让管理员员能够快快速了解解并定位位网络攻攻击，并并且能快快速做出出响应保保证网络络正常。（6）. 更加灵活活、精准准的入侵侵防御功功能依托先进进的多核核全并行行处理技技术，大大幅提高高了IPPS的处处理性能能，能够够轻松应应对多样样的混合合型攻击击，超过过30000种的的特征库库可以检检测并防防范针对对HTTTP、FFTP、SSMTPP、IMMAP、PPOP33、TEELNEET、DDNS、RRPC、MMSSQQL、OORACCLE、NNNTPP、NEETBOOIS、TTFTPP等多种种协议的的攻击，以以保障网网络的安安全。完完善的日日志系统统及监控控系统提提供了基基于不同同维度的的入侵事事件记录录分析，方方便管理理员掌握握当前网网络中的的攻击信信息，及及时做出出正确的的管理决决策。同同时，通通过专业业的特征征库，常常用基础础软件的的漏洞，以以及常用用应用系系统的漏漏洞利用用机理，保保证IPPS在防防范已知知漏洞的的基础上上，也能能对新出出现的漏漏洞进行行防范，确确保了入入侵防御御功能的的有效性性。IPPS功能能中针对对每种攻攻击特征征设定的的精细执执行动作作，极大大的提高高了入侵侵防御策策略的自自由度和和灵活性性，并且且最大程程度的降降低了误误识别率率。（7）. 支持自定定义新建建、并发发的连接接限制功功能连接限制制是网神神下一代代极速防防火墙NNSG系系列基于于安全域域来限制制并发及及新建连连接数的的功能。目目前最常常见的两两个应用用场景为为：1)限制制P2PP流量的的并发连连接数。通通过限制制单个IIP的连连接数上上限，让让使用PP2P下下载的用用户在达达到阈值值时也不不会对其其它用户户造成影影响。2)限制制来自外外网或者者内网的的高新建建高并发发的攻击击行为，保保护连接接表不被被DoSS攻击填填满。（8）. 多种形式式建立IIPSeec VVPN隧隧道IPSeec VVPN支支持“手工隧隧道”、“快速隧隧道”形式下下的隧道道建立方方式，并并支持“网关到到网关”、“客户端端到网关关”两种应应用场景景。同时时VPNN实施支支持基于于安全策策略指定定VPNN隧道策策略方式式。（9）. 深度的网网络行为为关联分分析基于网络络用户行行为、用用户身份份、用户户地域识识别、用用户访问问应用类类型的实实时分析析及动态态实时防防护而设设计的整整套安全全防御体体系。可可通过“云计算算”中心自自动收集集安全威威胁信息息并快速速寻找解解决方案案，及时时更新攻攻击防护护规则库库并以动动态的方方式实时时部署到到各用户户防火墙墙中，保保证用户户的安全全防护策策略得到到及时、准准确的动动态更新新。防范范以多种种形态出出现的新新恶意软软件和攻攻击行为为、APPT攻击击、0-dayy攻击等等日益增增长的威威胁。（10）. 全方位状状态信息息展示提供全面面的实时时的状态态信息展展示，包包括网络络接口状状态、接接口信息息状态、系系统信息息状态、资资源状态态、并发发连接数数、入侵侵防御状状态、应应用流量量排行榜榜。第一一时间为为管理员员修改防防火墙配配置策略略，了解解防火墙墙运行状状态，掌掌握网络络当前态态势提供供实时报报告。更更加人性性化和智智能化的的状态展展示同时时大大提提供了状状态信息息的易用用性。(四) WEB安安全防护护