信息安全等级保护(二级)建设设计实施方案.docx

《信息安全等级保护(二级)建设设计实施方案.docx》由会员分享，可在线阅读，更多相关《信息安全等级保护(二级)建设设计实施方案.docx（37页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全等级保护二级建设方案1名目1. 工程概述51.1. 工程建设目标51.2. 工程参考标准61.3. 方案设计原则92. 系统现状分析102.1. 系统定级状况说明102.2. 业务系统说明112.3. 网络构造说明113. 安全需求分析123.1. 物理安全需求分析123.2. 网络安全需求分析123.3. 主机安全需求分析133.4. 应用安全需求分析133.5. 数据安全需求分析133.6. 安全治理制度需求分析144. 总体方案设计144.1. 总体设计目标144.2. 总体安全体系设计144.3. 总体网络架构设计184.4. 安全域划分说明185. 具体方案设计技术局部195

2、.1. 物理安全195.2. 网络安全195.2.1. 安全域边界隔离技术195.2.2. 入侵防范技术205.2.3. 网页防篡改技术205.2.4. 链路负载均衡技术205.2.5. 网络安全审计205.3. 主机安全215.3.1. 数据库安全审计215.3.2. 运维堡垒主机225.3.3. 主机防病毒技术235.4. 应用安全236. 具体方案设计治理局部246.1. 总体安全方针与安全策略246.2. 信息安全治理制度256.3. 安全治理机构266.4. 人员安全治理266.5. 系统建设治理276.6. 系统运维治理276.7. 安全治理制度汇总307. 询问效劳和系统测评31

3、7.1. 系统定级效劳317.2. 风险评估和安全加固效劳327.2.1. 漏洞扫描327.2.2. 渗透测试327.2.3. 配置核查327.2.4. 安全加固327.2.5. 安全治理制度编写357.2.6. 安全培训357.3. 系统测评效劳358. 工程预算与配置清单358.1. 工程预算一期等保二级根本要求358.2. 利旧安全设备使用说明371. 工程概述1.1. 工程建设目标为了进一步贯彻落实教育行业信息安全等级保护制度，推动学校信息安全等级保护工作，依照国家计算机信息系统安全保护等级划分准则、信息系统安全等级保护根本要求、信息系统安全保护等级定级指南等标准， 对学校的网络和信息

4、系统进展等级保护定级，按信息系统逐个编制定级报告和定级备案表，并指导学校信息化人员将定级材料提交当地公安机关备案。本方案中，通过为满足物理安全、网络安全、主机安全、应用安全、数据安全五个方面根本技术要求进展技术体系建设；为满足安全治理制度、安全治理机构、人员安全治理、系统建设治理、系统运维治理五个方面根本管 理要求进展治理体系建设。使得学校信息系统的等级保护建设方案最终既可以满足等级保护的相关要求，又能够全方面为学校的业务系统供给立体、纵深的安全保障防范体系，保证信息系统整体的安全保护力量。本工程建设将完成以下目标：1、以学校信息系统现有根底设施，建设并完成满足等级保护二级系统 根本要求的信息

5、系统，确保学校的整体信息化建设符合相关要求。2、建立安全治理组织机构。成立信息安全工作组，学校负责人为安全责任人，拟定实施信息系统安全等级保护的具体方案，并制定相应的岗位责 任制，确保信息安全等级保护工作顺当实施。3、建立完善的安全技术防护体系。依据信息安全等级保护的要求，建立满足二级要求的安全技术防护体系。4、建立健全信息系统安全治理制度。依据信息安全等级保护的要求， 制定各项信息系统安全治理制度，对安全治理人员或操作人员执行的重要管 理操作建立操作规程和执行记录文档。5、制定学校信息系统不中断的应急预案。应急预案是安全等级保护的重要组成局部，按可能消灭问题的不怜悯形制定相应的应急措施，在系

6、统出 现故障和意外且无法短时间恢复的状况下能确保生产活动持续进展。6、安全培训：为学校信息化技术人员供给信息安全相关专业技术学问 培训。1.2. 工程参考标准中办202327 号文件关于转发国家信息化领导小组关于加强信息安全保障工作的意见的通知公通字202366 号文件关于印发信息安全等级保护工作的实施意见的通知指导公通字202343 号文件关于印发信息安全等级保护治理思想方法的通知公信安20231429关于开展信息安全等级保护安全建设整改工作的指导意见全国人大关于加强网络信息保护的打算我司遵循国家信息安全等级保护指南等最安全标准以及开展各项效劳工作，协作学校的等级保护测评工作。本工程建设参考

7、依据：国发202323 号国务院关于大力推动信息化进展和切实保障信息安全的假设干意见国发20237 号国务院关于推动物联网有序安康进展的指导意见公信安20232182 号关于加强国家级重要信息系统安全保障工作有关事项的通知 公信安20232182 号等级 GB 17859-1999 计算机信息系统安全保护等级划分准则保护 GB/T25058-2023 信息系统安全等级保护实施指南系统 GB/T 22240-2023 信息安全技术 信息系统安全保护等级定定级 级指南GB/T25066-2023 信息安全产品类别与代码GB/T17900-1999 网络代理效劳器的安全技术要求GB/T20230-2

8、023 包过滤防火墙评估准则GB/T20281-2023 防火墙技术要求和测试评价方法GB/T18018-2023 路由器安全技术要求技术GB/T20238-2023 路由器安全评估准则方面GB/T20272-2023 操作系统安全技术要求GB/T20273-2023 数据库治理系统安全技术要求GB/T20239-2023 数据库治理系统安全评估准则GB/T20275-2023 入侵检测系统技术要求和测试评价方法GB/T20277-2023 网络和终端设备隔离部件测试评价方法7GB/T20279-2023 网络和终端设备隔离部件安全技术要求GB/T20278-2023 网络脆弱性扫描产品技术要

9、求GB/T20280-2023 网络脆弱性扫描产品测试评价方法GB/T20945-2023 信息系统安全审计产品技术要求和测试评价方法GB/T 21028-2023 效劳器安全技术要求GB/T25063-2023 效劳器安全侧评要求GB/T 21050-2023 网络交换机安全技术要求EAL3GB/T28452-2023GB/T29240-2023方法应用软件系统通用安全技术要求终端计算机通用安全技术要求与测试评价GB/T28456-2023IPsec 协议应用测试标准GB/T28457-2023SSL 协议应用测试标准GB/T20269-2023信息系统安全治理要求GB/T28453-202

10、3信息系统安全治理评估要求治理方面GB/T20984-2023 GB/T24364-2023GB/T20985-2023信息安全风险评估标准信息安全风险治理指南信息安全大事治理指南GB/T20986-2023信息安全大事分类分级指南GB/T20988-2023信息系统灾难恢复标准方案GB/T25070-2023信息系统等级保护安全设计技术要求8设计等保GB/T28448-2023 信息系统安全等级保护测评要求测评GB/T28449-2023 信息系统安全等级保护测评过程指南1.3. 方案设计原则针对本次工程，等级保护整改方案的设计和实施将遵循以下原则：n 保密性原则：我司对安全效劳的实施过程和

11、结果将严格保密，在未经用户方授权的状况下不会泄露给任何单位和个人，不会利用此数据进展任何侵害客户权益的行为；n 标准性原则：效劳设计和实施的全过程均依据国内或国际的相关标准进展；依据等级保护二级根本要求，进展分等级分安全域进展安全设计和安全建设。n 标准性原则：我司在各项安全效劳工作中的过程和文档，都具有很好的标准性南宁市学家科技安全效劳实施标准，可以便于工程的跟踪和掌握；n 可控性原则：效劳所使用的工具、方法和过程都会在深信服与用户方双方认可的范围之内，效劳进度遵守进度表的安排，保证双方对效劳工作的可控性；n 整体性原则：效劳的范围和内容整体全面，涉及的IT 运行的各个层面，避开由于遗漏造成

12、将来的安全隐患；9n 最小影响原则：效劳工作尽可能小的影响信息系统的正常运行，不会对现有业务造成显著影响。n 体系化原则：在体系设计、建设中，深信服充分考虑到各个层面的安全风险，构建完整的立体安全防护体系。n 先进性原则：为满足后续不断增长的业务需求、对安全产品、安全技术都充分考虑前瞻性要求，承受先进、成熟的安全产品、技术和先进的治理方法。n 分步骤原则：依据用户方要求，对用户方安全保障体系进展分期、分步骤的有序部署。n 效劳细致化原则：在工程询问、建设过程中深信服将充分结合自身的专业技术阅历与行业阅历相结合，结合用户方的实际信息系统量身定做才可以保障其信息系统安全稳定的运行。2. 系统现状分

13、析2.1. 系统定级状况说明学校综合考虑了学校信息系统、学校信息系统的业务信息和系统效劳类型，以及其受到破坏时可能受到侵害的客体以及受侵害的程度，经学校省公安厅的批准，已将学校系统等级定为等级保护其次级S2A2G2，整体网络信息化平台依据二级进展建设。102.2. 业务系统说明学校本次参与整改的共有 X 个信息系统，分别是学校系统、学校系统、学校系统、学校系统，具体状况介绍如下：学校门户网站系统：2023 年门户网站网络版历经系统开发、模拟测试、网络、硬件设备安装部署，在试点和实施过程当中觉察系统仍有缺乏之处，需要对系统进展深入完善和改进，主要考虑到由于门户网站网络版 作为学校集中部署的网络化

14、重要业务系统，其具有应用面广、用户规模大， 并涉及到学校对互联网形象，以及基于公众网上部署的特性，因此系统自身和运行环境均存在肯定的安全风险，在数据传输、安全加密、网络监控、防入侵等方面的必需要建立一套更有效更完善的安全保护体系和措施。学校 OA 系统：目前学校旧 OA 系统预备停用，并且已经开发和预备上线的业务系统，的业务系统目前预备对公网直接公开访问，因此涉及到的能够访问到业务系统的规模比较大，而且整个网络相对会比较简单、流量多变，所以系统任有较多缺乏，在本次建设过程中应当加强安全建设，系统自身和运行环境均存在肯定的安全风险，在数据传输、安全加密、网络监控、防入侵等方面的必需要建立一套更有

15、效更完善的安全保护体系和措施。2.3. 网络构造说明学校信息系统网络拓扑图现状如下：3. 安全需求分析3.1. 物理安全需求分析目前在机房建设方面还存在如下问题：1、物理访问掌握；2、防雷击；3、防火墙；4、防水防潮；5、温湿度掌握；3.2. 网络安全需求分析边界入侵防范：该信息系统无法实现对边界的访问掌握，需要部署下一代署防火墙等安全设备来实现。12防 web 攻击和网页防篡改：该信息系统无法实现对边界的访问掌握，需要部署下一代署防火墙等安全设备来实现。安全域边界安全审计：该信息系统无法实现对边界的访问掌握，需要部署署网络安全审计等安全设备来实现。3.3. 主机安全需求分析主机防病毒：该信息

16、系统缺少主机防病毒的相关安全策略，需要配置网络版主机防病毒系统，从而实现对全网主机的恶意代码防范。数据库审计：该信息系统缺少针对数据的审计设备，不能很好的满足主机安全审计的要求，需要部署专业的数据库审计设备。运维堡垒机：该该信息系统无法实现治理员对网络设备和效劳器进展治理时的双因素认证，需要部署堡垒机来实现。漏洞扫描：需要部署漏洞扫描实现对全网漏洞的扫描。3.4. 应用安全需求分析通信完整性和保密性：该信息系统无法实现对边界的访问掌握，需要部署 SSL VPN 等安全设备来实现。3.5. 数据安全需求分析备份与恢复：该该信息系统没有完善的数据备份与恢复方案，需要制定相关策略。同时，该信息系统没

17、有实现对关键网络设备的冗余，建议部署双链路确保设备冗余。133.6. 安全治理制度需求分析依据前期差距分析结果，该单位还欠缺较多安全治理制度，需要后续补充。4. 总体方案设计4.1. 总体设计目标学校的安全等级保护整改方案设计的总体目标是依据国家等级保护的有关标准和标准，结合学校信息系统的现状，对其进展重规划和合规性整改， 为其建立一个完整的安全保障体系，有效保障其系统业务的正常开展，保护敏感数据信息的安全，保证学校信息系统的安全防护力量到达信息安全技术 信息系统安全等级保护根本要求中其次级的相关技术和治理要求。4.2. 总体安全体系设计本工程提出的等级保护体系模型，必需依照国家等级保护的相关

18、要求， 利用密码、代码验证、可信接入掌握等核心技术，在“一个中心三重防范” 的框架下实现对信息系统的全面防护。整个体系模型如以下图所示：安全治理中心安全治理中心是整个等级保护体系中对信息系统进展集中安全治理的平台， 是信息系统做到可测、可控、可治理的必要手段和措施。依照GB/T25070-2023 信息系统等级保护安全设计技术要求中对安全治理中心的要求，一个符合基于可信计算和主动防范的等级保护体系模型的安全治理中15心应至少包含以下三个局部： 系统治理实现对系统资源和运行的配置。掌握和治理，并对系统治理员进展身份鉴别，只允许其通过特定的命令或操作界面进展系统治理操作，并对这些操作进展审计。安全

19、治理实现对系统中的主体、客体进展统一标记，对主体进展授权，配置全都的安全策略，确保标记、授权和安全策略的数据完整性，并对安全治理员进展身份鉴别，只允许其通过特定的命令或操作界面进展安全治理操作，并进展审计。审计治理实现对系统各个组成局部的安全审计机制进展集中治理，包括依据安全审计策略对审计记录进展分类；供给按时间段开启和关闭相应类型的安全审计机制；对各类审计记录进展存储、治理和查询等；对审计记录应进展分析， 依据分析结果进展处理。此外，对安全审计员进展身份鉴别，只允许其通过特定的命令或操作界面进展安全审计操作。此外，安全治理中心应做到技术与治理并重，加强在安全治理制度、安全治理机构、人员安全治

20、理、系统建设治理和系统运维治理等方面的治理力度，标准安全治理操作规程，建立完善的安全治理制度集。安全计算环境参照基于可信计算和主动防范的等级保护模型，安全计算环境可划分成节点和典型应用两个子系统。在解决方案中，这两个子系统都将通过终端安36全保护体系的建立来实现。信息安全事故的源头主要集中在用户终端，要实现一个可信的、安全的计算环境，就必需从终端安全抓起。因此，依照等级保护在身份鉴别，访问掌握包括强制访问掌握、网络行为掌握包括上网掌握、违规外联的掌握、应用安全、数据安全、安全审计等方面的技术要求，可充分结合可信计算技术和主动防范技术的先进性和安全性，提出一个基于可信计算和主动防范的终端安全保护

21、体系模型，以实现从应用层、系统层、核心层三个方面对计算环境的全面防护。n 安全区域边界为保护边界安全，本解决方案针对构建一个安全的区域边界提出的解决手段是在被保护的信息边界部署一个“应用访问掌握系统”。该系统应可以实现以下功能：信息层的自主和强制访问掌握、防范 SQL 注入攻击和跨站攻击、抗 DoS/DDoS 攻击端口扫描、数据包过滤、网络地址换、安全审计等。由于国内外在这一方面的相关技术格外成熟，因此，在本次系统整改总体设计中更多的是考虑如何将防火墙、防病毒网关、网络安全审计系统、IDS、IPS、网管系统等有机地结合在一起，实现协同防护和联动处理。此外，对于不同安全等级信息系统之间的互连边界

22、，可依据依照信息流向的凹凸，部署防火墙或安全隔离与信息交换系统，并配置相应的安全策略以实现对信息流向的掌握。n 安全通信网络目前，在通信网络安全方面，承受密码等核心技术实现的各类 VPN 都可以很有效的解决这类问题，到达在满足等级保护相关要求的同时，可敏捷提高通信网络安全性的效果。4.3. 总体网络架构设计学校网络架构整体设计如下：4.4. 安全域划分说明安全域的划分是网络防护的根底，事实上每一个安全边界所包含的区域都形成了一个安全域。这些区域具有不同的使命，具有不同的功能，分域保护的框架为明确各个域的安全等级奠定了根底，保证了信息流在交换过程中的安全性。在本工程中，将严格依据信息系统的重要性

23、和网络使用的规律特性划分安全域，将划分如下确定的安全域：互联网出口域，该区域说明如下：l 专网出口域，该区域说明如下：主要承载互联网出口，出口主干需要部署相应的安全边界产品。l 终端接入域，该区域说明如下：主要是无线和有线终端接入；l 对外效劳器域，该区域说明如下：该区域主要承载对外公布效劳器， 比方学校的网站；l 内部效劳器域，该区域说明如下：主要承载对内的效劳器和存储，比如OA 和学校专业先关零时性的试验效劳器。l 安全治理域，该区域说明如下：主要承载网络治理先关设备，比方网管系统，防病毒升级效劳器等。5. 具体方案设计技术局部5.1. 物理安全依据GB/T25070-2023 信息系统等

24、级保护安全设计技术要求中物理安全的要求，应从以下方面进展整改：5.2. 网络安全5.2.1. 安全域边界隔离技术依据信息系统安全等级保护根本要求，应当在学校各安全域的边界处部署防火墙设备，保证跨安全域的访问都通过防火墙进展掌握治理。因此， 在互联网出口域边界部署下一代防火墙，在内网效劳器区域边界部署 WEB 应用防火墙。5.2.2. 入侵防范技术依据等级保护根本要求，二级业务系统应当在互联网出口处实现入侵防范功能，因此，在互联网出口的下一代防火墙上启用入侵防范模块格外有必要。二级业务系统应当在互联网出口处部署网络层防病毒设备，并保证与主机层防病毒实现病毒库的异构。因此，在互联网出口的下一代防火

25、墙上启用防病毒模块格外有必要。5.2.3. 网页防篡改技术学校网站承载了学校等重要职责，暴露在互联网上，随时会面临网页被篡改及黑客攻击的危急，因此，在互联网出口的下一代防火墙上启用网页防篡改功能格外有必要。5.2.4. 链路负载均衡技术依据等级保护根本要求，二级业务系统应当在互联网出口处进展优化掌握，保证用户访问选择最优的链路。因此，建议在二期部署一套专业的链路负载均衡设备格外有必要。5.2.5. 网络安全审计针对用户访问业务系统带给我们的困扰以及诸多的安全隐患，必需部署一套日志审计系统利用实时跟踪分析技术，从发起者、访问时间、访问对象、访问方法、使用频率各个角度，供给丰富的统计分析报告，帮助

26、用户在统一治理互联网访问日志的同时，准时觉察安全隐患，帮助优化网络资源的使用。依据公安部等级保护根本要求，全部信息系统都需要部署日志审计系统， 并保存 3 个月的日志，学校拥有浩大的网络海量的数据交换，目前还没有部署日志审计系统。因此，建议在二期部署一套日志审计系统对全网行为进展监控、日志进展记录。部署设计：日志审计系统旁路部署在核心交换上，实现全网的网络行为的统一审计， 收集网络设备、安全设备、主机系统等设备的运行状况、网络流量、用户行为等日志信息，并对收集到的日志信息进展分类和关联分析，并可依据审计人员的操作要求生成统计报表，便利查询和生成报告，为网络大事追溯供给证据。5.3. 主机安全5

27、.3.1. 数据库安全审计建议在二期部署数据库审计系统，实现对用户行为、用户大事及系统状态加以审计，范围掩盖到每个用户，从而把握数据库系统的整体安全。部署设计：数据库审计部署于数据库前端交换机上，通过端口镜像收集信息。5.3.2. 运维堡垒主机对运维的治理现状进展分析，我们认为造成这种担忧全现状的缘由是多方面的，总结起来主要有以下几点：n 各IT 系统独立的帐户治理体系造成身份治理的换乱，而身份的唯一性又恰恰是认证、授权、审计的依据和前提，因此身份的混乱实际上造成设备访问的混乱。n 各IT 系统独立治理，风险分散在各系统中，各个击破困难大，这种管理方式造成了业务治理和安全之间的失衡。n 核心效

28、劳器或设备的物理安全和临机访问安全通过门禁系统和录像系统得以较好的解决，但是对他们的网络访问缺少掌握或欠缺掌握力度， 在帐号、密码、认证、授权、审计等各方面缺乏有效的集中治理技术手段。目前，学校使用数量众多的网络设备、效劳器主机来供给根底网络效劳、运行关键业务、数据库应用、ERP 和协同工作群件等效劳。由于设备和效劳器众多，系统治理员压力太大等因素，越权访问、误操作、滥用、恶意破坏等状况时有发生，这严峻影响信息系统的运行效能，另外黑客的恶意访问也有可能猎取系统权限，闯入部门内部网络，造成不行估量的损失。如何提高系统运维治理水平，跟踪效劳器上用户的操作行为，防止黑客的入侵和破坏， 供给掌握和审计

29、依据，降低运维本钱，满足相关标准要求，越来越成为信息系统关心的问题，因此建议在学校二期安全建设有必要部署一套运维堡垒主机来实现账户的安全维护。部署设计：运维审计系统部署在安全治理域，通过交换机的访问掌握策略限定只能由堡垒主机内控治理平台直接访问效劳器的远程维护端口。维护人员对网络设备、安全设备和效劳器系统进展远程维护时，首先以 Web 方式登录运维审计系统，然后通过运维审计系统上呈现的访问资源列表直接访问授权资源。5.3.3. 主机防病毒技术学校目前网络内全部终端使用免费的杀毒软件，根本满足等级保护二级的要求，但是现在主要效劳器并没有部署专业的杀毒软件，建议第一期部署杀毒软件。部署设计软件客户

30、端部署在内外防效劳器上面，通过治理区域防病毒升级效劳器对病毒规章库进展升级。5.4. 应用安全依据等级保护的要求，二级业务系统必需加密传输，因此需要部署 SSL VPN 技术实现应用系统远程访问的加密，假设后期 OA 系统需要实现出差教师或则在外网的人能够访问需要上 SSL VPN 设备。部署设计：SSL VPN 旁路部署于核心交换机上。6. 具体方案设计治理局部安全治理体系的作用是通过建立健全组织机构、规章制度，以及通过人员安全治理、安全教育与培训和各项治理制度的有效执行，来落实人员职责， 确定行为标准，保证技术措施真正发挥效用，与技术体系共同保障安全策略的有效贯彻和落实。信息安全治理体系主

31、要包括组织机构、规章制度、人员安全、安全教育和培训等四个方面内容。6.1. 总体安全方针与安全策略总体安全方针与安全策略是指导用户方全部信息安全工作的纲领性文件， 是信息安全决策机构对信息安全工作的决策和意图的表述。总体安全方针与安全策略的作用在于统一对信息安全工作的生疏，规定信息安全的根本架构，明确信息安全的根本目标和原则。本次工程中深信服将帮助用户方确定安全治理体系的层次及建立方式，明确各层次在安全治理体系中的职责以及安全策略，建立具有高可操作性的考核体系，以加强安全策略及各项治理制度的可落实性。我方为用户方设计的总体安全方针与安全策略将具备以下特性：n 安全策略紧紧围绕行业的进展战略，符

32、合用户方实际的信息安全需求， 能保障与促进信息化建设的顺当进展，避开抱负化与不行操作性。n 总体安全方针与安全策略中将明确阐述用户方全部信息化建设工程在规划设计、开发建设、运行维护和变更废弃等各阶段，应遵循的总体原则和要求。n 安全策略在经过用户方信息安全决策机构批准之后，将具备指导和规范信息安全工作的效力。n 安全策略中将规定其自身的时效性，当信息系统运行环境发生重大变化时，我方将帮助用户方准时对总体安全策略进展必要的调整，并将调整后的策略提交用户方信息安全决策机构批准。6.2. 信息安全治理制度依据安全治理制度的根本要求制定各类治理规定、治理方法和暂行规定。从安全策略主文档中规定的安全各个

33、方面所应遵守的原则方法和指导性策略引出的具体治理规定、治理方法和实施方法，是具有可操作性，且必需得到有效推行和实施的制度。制定严格的制定与公布流程，方式，范围等，制度需要统一格式并进展有效版本掌握；公布方式需要正式、有效并注明公布范围，对收发文进展登记。信息安全领导小组负责定期组织相关部门和相关人员对安全治理制度体系的合理性和适用性进展审定，定期或不定期对安全治理制度进展评审和修订，修订缺乏及进展改进。6.3. 安全治理机构依据根本要求设置安全治理机构的组织形式和运作方式，明确岗位职责； 设置安全治理岗位，设立系统治理员、网络治理员、安全治理员等岗位，依据要求进展人员配备，配备专职安全员；成立

34、指导和治理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权；制定文件明确安全治理机构各个部门和岗位的职责、分工和技能要求。建立授权与审批制度；建立内外部沟通合作渠道；定期进展全面安全检查，特别是系统日常运行、系统漏洞和数据备份等。6.4. 人员安全治理人员安全治理主要包括人员录用、离岗、考核、教育培训等内容。一般单位都有统一的人事治理部门负责人员治理，这里的人员安全治理主要指对关键岗位人员进展的以安全为核心的治理，例如对关键岗位的人员实行在录用或上岗前进展全面、严格的安全审查和技能考核，与关键岗位人员签署保密协议，对离岗人员撤销系统帐户和相关权限等措施。只有留意对安全治理人员

35、的培育，提高其安全防范意识，才能做到安全有效的防范，因此需要对各类人员进展安全意识教育、岗位技能培训和相关安全技术培训。培训的内容包括单位的信息安全方针、信息安全方面的根底学问、安全技术、安全标准、岗位操作规程、最的工作流程、相关的安全责任要求、法律责任和惩戒措施等。具体依据标准根本要求中人员安全治理，同时可以参照信息系统安全治理要求等。6.5. 系统建设治理系统建设治理的重点是与系统建设活动相关的过程治理，由于主要的建设活动是由效劳方，如集成方、开发方、测评方、安全效劳方等完成，运营使用单位人员的主要工作是对之进展治理，应制定系统建设相关的治理制度， 明确系统定级备案、方案设计、产品选购使用

36、、软件开发、工程实施、验收交付、等级测评、安全效劳等活动的治理责任部门、具体的治理内容和掌握方法，并依据治理制度落实各项治理措施，完整保存相关的治理记录和过程文档。具体依据标准根本要求中系统建设治理。6.6. 系统运维治理8、环境和资产安全治理制度环境包括计算机、网络机房环境以及设置有网络终端的办公环境，明确环境安全治理的责任部门或责任人，加强对人员出入、来访人员的掌握，对有关物理访问、物品进出和环境安全等方面作出规定。对重要区域设置门禁掌握手段，或使用视频监控等措施。资产包括介质、设备、设施、数据、软件、文档等，资产治理不等同于设备物资治理，而是从安全和信息系统角度对资产进展治理，将资产作为

37、信息系统的组成局部，按其在信息系统中的作用进展治理。应明确资产安全治理的责任部门或责任人，对资产进展分类、标识，编制与信息系统相关的软件资产、硬件资产等资产清单。具体依据标准根本要求中系统运维治理，同时可以参照信息系统安全治理要求等。2、设备和介质安全治理制度明确配套设施、软硬件设备治理、维护的责任部门或责任人，对信息系统的各种软硬件设备选购、发放、领用、维护和修理等过程进展掌握，对介质的存放、使用、维护和销毁等方面作出规定，加强对涉外修理、敏感数据销毁等过程的监视掌握。具体依据标准根本要求中系统运维治理，同时可以参照信息系统安全治理要求等。3、日常运行维护制度明确网络、系统日常运行维护的责任

38、部门或责任人，对运行治理中的日常操作、账号治理、安全配置、日志治理、补丁升级、口令更等过程进展掌握和治理；制订设备操作治理、业务应用操作治理、变更掌握和重用治理、信息交换治理相应的治理制度；制定与信息系统安全治理相配套的标准和操作规程并落实执行；正确实施为信息系统牢靠运行而实行的各种检测、监控、审计、分析、备份及容错等方法和措施，对运行安全进展监视检查。具体依据标准根本要求中系统运维治理，同时可以参照信息系统安全治理要求等。4、集中安全治理制度其次级以上信息系统应依据统一的安全策略、安全治理要求，统一治理信息系统的安全运行，进展安全机制的配置与治理，对设备安全配置、恶意代码、补丁升级、安全审计

39、等进展治理，对与安全有关的信息进展集合与分析，对安全机制进展集中治理。具体依据标准根本要求中系统运维治理，同时可以参照信息系统等级保护安全设计技术要求和信息系统安全治理要求等。8、大事处置与应急响应制度依据国家有关标准规定，确定信息安全大事的等级。结合信息系统安全保护等级，制定信息安全大事分级应急处置预案，明确应急处置策略，落实应急指挥部门、执行部门和技术支撑部门，建立应急协调机制。落实安全大事报告制度，其次级以上信息系统发生较大、重大、特别重大安全大事时， 运营使用单位依据相应预案开展应急处置，并准时向受理备案的公安机关报告。组织应急技术支撑力气和专家队伍，依据应急预案定期组织开展应急演练。

40、具体依据标准根本要求中系统运维治理，同时可以参照信息安全大事分类分级指南和信息安全大事治理指南等。8、灾难备份制度要对其次级以上信息系统实行灾难备份措施，防止重大事故、大事发生。识别需要定期备份的重要业务信息、系统数据及软件系统等，制定数据的备份策略和恢复策略，建立备份与恢复治理相关的安全治理制度。具体依据标准根本要求中系统运维治理和信息系统灾难恢复标准。8、安全监测制度开展信息系统实时安全监测，实现对物理环境、通信线路、主机、网络设备、用户行为和业务应用等的监测和报警，准时觉察设备故障、病毒入侵、黑客攻击、误用和误操作等安全大事，以便准时对安全大事进展响应与处置。具体依据标准根本要求中系统运

41、维治理。8、其他制度对系统运行维护过程中的其它活动，如系统变更、密码使用等进展掌握和治理。按国家密码治理部门的规定，对信息系统中密码算法和密钥的使用进展分级治理。6.7. 安全治理制度汇总制定安全检查制度，明确检查的内容、方式、要求等，检查各项制度、措施的落实状况，并不断完善。定期对信息系统安全状况进展自查，其次级系统每两年自查一次，第三级信息系统每年自查一次，第四级信息系统每半年自查一次。经自查，信息系统安全状况未到达安全保护等级要求的，应当进一步开展整改。具体依据标准根本要求中安全治理机构，同时可以参照信息系统安全治理要求等。最终提交安全制度包括但不限于以下内容：n 总体安全策略组织、流程

42、、策略、技术n 岗位安全责任制度n 第三方安全治理制度n 系统日常安全治理工作制度n 系统安全评估治理方法n 机房建设运行标准n 安全区域划分及治理规定n 治理信息区域网管制度n 系统建设治理制度n 设备入网安全治理制度n 系统软件和补丁治理制度n 备份与恢复治理制度n 账号和口令及权限治理制度n 介质治理n 加密技术使用治理方法n 应急预案治理制度n 安全大事报告和处置治理制度n 安全审计治理7. 询问效劳和系统测评7.1. 系统定级效劳帮助用户单位，依据信息系统安全等级保护定级指南，确定信息系统的安全保护等级，预备定级备案表和定级报告，帮助用户单位向所在地区的公安机关办理备案手续。7.2.

43、 风险评估和安全加固效劳通过漏洞扫描、配置核查和渗透测试等技术手段觉察系统中的漏洞，这些漏洞不能由安全设备解决，只能有安全加固解决。7.2.1. 漏洞扫描利用业界领先的多种扫描工具检查整个网络内部网络的主机系统与数据库系统的漏洞状况，并用人工对扫描结果进展误报分析，结果整理。目标是开掘网络内部网络的安全漏洞，包括但不局限于：操作系统漏洞、网络设备漏洞、中间件漏洞、数据库漏洞、脆弱账户等，并提出漏洞修补建议7.2.2. 渗透测试模拟黑客的真实攻击方法对系统和网络进展非破坏性质的攻击性测试， 旨在觉察目标系统这里，全部的渗透测试行为将在客户的书面明确授权和监视下进展。通过远程渗透测试全面检测信息系

44、统清单中的系统网站直接暴露在互联网上的安全隐患，并供给实际可行的安全修复建议。7.2.3. 配置核查通过配置核查工具和安全专家人工检查想结合的方式，逐项检查系统的各项配置和运行状态，评估对象应包括各主机的操作系统、网络设备和数据库，并出具评估报告。7.2.4. 安全加固依据漏洞扫描、配置核查和渗透测试的结果，对用户单位供给安全加固建议包括主机安全加固、网络设备安全加固效劳、安全设备安全加固优化效劳、数据库系统安全加固效劳、治理制度完善，并对具体的安全加固供给指导询问。主机安全加固主要对用户单位全部主机系统含虚拟机进展安全加固，内容如下:n 检查主机系统的补丁治理；n 账号及口令策略；n 网络与效劳n 文件系统；n 日志审核；n 防火墙策略；n 系统钩子；n 木马、后门及 rookit；n 安全性增加； 网络安全加固主要对用户单位所涉及的网络设备进展安全加固，内容如下:n 网络设备的补丁治理及版本；n 账号及口令策略；n 访问掌握；n 网络与效劳；n 日志审核信息安全设备加固安全设备是否配置最优，实现其最优功能和性能，保证网络系统的正常运行、是否存在漏洞或后门、自身的保护机制是否实现、检查安全设备的补丁治理、账号及口令策略、访问掌