《天融信等保方案.ppt》由会员分享，可在线阅读，更多相关《天融信等保方案.ppt（32页珍藏版）》请在金锄头文库上搜索。
1、道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 天融信等级保护解决方案 TopSec等级保护体系 天融信安全服务总监 田野 Tian_ye 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 等级保护的政策文件 2003年9月 中办国办颁发 关于加强信息安 全保障工作的意见 中办发200327号 2005年9月 国信办文件 关于转发电 子政务信息安全等 级保护实施指南 的通知 国信办200425号
2、 2006年1月 四部委会签 关于印发信 息安全等级保护管 理办法的通知 公通字20067号 2005年 公安部标准 基本要求 定级指南 实施指南 测评准则 2004年11月 四部委会签 关于信息安全等 级保护工作的实施 意见 公通字200466号 云南 云南省人民 政府第130 号令 浙江 浙江省人民 政府令 北京 第 9号令 国家级政策文件国家级技术标准国家级政策文件地方政策文件 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 等级保护的管理结构北京为例 国家信息办 公安部网监局 北京信息
3、办北京公安局网监处 北京测评中心北京研究一所 管理职能： 监管和测评 技术支持单位： 定级、测评 安全厂商、服务商安全厂商、服务商 服务实施单位： 咨询、实施、产 品、运维 北京信息办 北京信息办 北京测评中心 北京测评中心 北京公安局网监处 北京公安局网监处 北京研究一所 北京研究一所 安全厂商、服务商 安全厂商、服务商 安全厂商、服务商 安全厂商、服务商 政策、宏观管 理、协调 电子政务领域其他行业领域 北京市属 的电子政 务系统 地处北京 的各部委 各行业 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内
4、心信念来维持的。 等级保护的政策文件与技术演进 2003年9月 中办国办颁发 关于加强信息安全保 障工作的意见 （中办发200327号） 2004年11月 四部委会签 关于信息安全等级保 护工作的实施意见 （公通字200466号） 2005年9月 国信办文件 关于转发电子政 务信息安全等级保护实 施指南的通知 （国信办200425号） 2005年 公安部标准 等级保护安全要求 等级保护定级指南 等级保护实施指南 等级保护测评准则 总结成一种安全工 作的方法和原则 最先作为“适度 安全”的工作思 路提出 确认为国家信息安 全的基本制度，安 全工作的根本方法 形成等级保护的基 本理论框架，制定 了
5、方法，过程和标 准 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 等级保护基本需求 政策要求符合等级保护的要求 系统定级 系统符合基本要求中相应级别的指标 符合测评准则中的要求 实际需求适应客户实际情况 适应业务特性与安全要求的差异性 可工程化实施 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 基本安全要求中的各级指标 某级系统 物理安全 技术要求管理要求 基本要求 网络安全 主机安全 应
6、用安全 数据安全 安全管理机构 安全管理制度 人员安全管理 系统建设管理 系统运维管理 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 等级保护的生命周期 信息系统等级保护实施生命周期内的主要活动 规划设计阶段安全实施/实现阶段安全运行管理阶段 等级化风险评估 安全总体设计 安全建设规划 安全方案设计 安全产品采购 安全控制集成 测试与验收 管理机构的设置 管理制度的建设 人员配置和岗位培训 安全建设过程的管理 操作管理和控制 变更管理和控制 安全状态监控 安全事件处置和应急预案 安全评估和持
7、续改进 监督检查 定级阶段 系统调查和描述 子系统划分/分解 子系统边界确定 安全等级确定 定级结果文档化 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 等级保护实施中需要解决的问题 1. 标准中从“单个系统”出发，但实际工作是从 组织整体出发，整体考虑所有系统 a) 各系统单独保护，将冲突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 c) 各系统安全单独建设，将造成分散、重复和低水平 2. 在建立长效机制方面考虑较少，难以做到可持 续运行、发展和完善 3. 管理难
8、度太大，管理成本高 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 需求分析1 问题1：标准中从“单个系统”出发，但实际工作 是从组织整体出发，整体考虑所有系统 a) 各系统单独保护，将冲突和割裂，形成信息孤岛 需求：从组织整体出发，综合考核所有系统 方法：引入体系设计方法 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 组织战略和业务目标 组织总体信息安全目标 安全要求安全措施 结构体 安全
9、体系设计方法 结构化分解原则： 从组织总体目标出发 充分覆盖，互不重叠，不可再细分 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 安全体系的组成 安 全 问 题 保护对 象框架 安全对 策框架 界定和分解 映射 安全体系 综合 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 需求分析2 1. 标准中从“单个系统”出发，但实际工作是从 组织整体出发，整体考虑所有系统 a) 各系统单独保护，将冲
10、突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 需求：准确地进行大系统的分解和描述，反映实际特 性和差异性安全要求 方法：引入保护对象框架设计方法 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 保护对象框架电信行业 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 保护对象框架-政府行业 中央节点 直属节点 政务外网政务专网政务内网 道德是一定社会、一定阶级调节人与人
11、之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 保护对象框架银行业 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 需求分析3 1. 标准中从“单个系统”出发，但实际工作是从 组织整体出发，整体考虑所有系统 a) 各系统单独保护，将冲突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 c) 各系统安全单独建设，将造成分散、重复和低水平 需求：统一规划，集中建设，避免重复和分散，降低 成本，提高建设水平 方
12、法：引入安全平台的设计与建设方法 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 终端管理和防病毒集中管理平台集中机房与物理环境安全 安全管理运行中心 终端管理和防病毒集中管理平台防病毒、补丁和终端管理平台 终端安全 全程全网监控和审计平台全网统一监控和审计平台 终端管理和防病毒集中管理平台安全域和网络访问控制平台 基础设施安全 网络安全 监控审计 第三方统一安全接入平台应用加密平台 第三方统一安全接入平台 统一鉴别认证平台 数据备份与冗灾平台 统一身份认证与授权管理平台 认证 授权 数据安全
13、 加密 应用安全 安全平台 物理安全 平台定义：为系统提供互操作性及其服务的环境 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 需求分析4 1. 标准中从“单个系统”出发，但实际工作是从组织整体 出发，整体考虑所有系统 a) 各系统单独保护，将冲突和割裂，形成信息孤岛 b) 复杂大系统的分解和差异性安全要求描述很困难 c) 各系统安全单独建设，将造成分散、重复和低水平 2. 在建立长效机制方面考虑较少，难以做到可持续运行、 发展和完善 需求：建立长效机制，建立可持续运行、发展和完善的体系 方
14、法：建立安全运行体系 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 项目建设 安全管理 安全风险 管理 安全运行 维护 安全体系 的建设 制定企业业或 部门级门级 体系 制定总总体 安全体系 按要求开展工作 安全目标标 安全要求 提出安全 规规范、要求 根据要求 评评估建设设 跟踪、定期审审核 安全建设设工作 按要求进进行 安全建设设工作 申请请立项项 提供项项目安全说说明 弱点评评估 系统统加固安全事件处处理 按要求进进行 建设设 应应急响应计应计 划 定期评评估 安全现现状 监监控、审计
15、审计 安全现现状 安全预预警 提出规规范、要求 设备设备 安全维护维护 系统统安全维护维护 考核和检查检查 落实规实规 范、要求 制定运维维作业计业计 划 总部层面 省级层面 系统层面 安全运行体系 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 需求分析5 1. 标准中从“单个系统”出发，但实际工作是从组织整 体出发，整体考虑所有系统 a)各系统单独保护，将冲突和割裂，形成信息孤岛 b)复杂大系统的分解和差异性安全要求描述很困难 c)各系统安全单独建设，将造成分散、重复和低水平 2. 在建立
16、长效机制方面考虑较少，难以做到可持续运行 、发展和完善 3. 管理难度太大，管理成本高 需求：需要高水平、自动化的安全管理工具 方法：引入安全管理平台 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 安全运维工作过程 正常工作流程自上而下异常工作流程自下而上 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 安全管理中心框架 道德是一定社会、一定阶级调节人与人之间、个体与社会、个体与自然之间各种关系的行为规范的总和。这种规范是靠社会舆论、传统习惯、教育和内心信念来维持的。 需求分析总结 符合等级保护制度与标准 引入体系设计方法 引入保护对象框架设计方法 引入安全平台的设计与建设方法 建立安
