《信息安全等级保护建设计划组织》由会员分享，可在线阅读，更多相关《信息安全等级保护建设计划组织（25页珍藏版）》请在金锄头文库上搜索。
1、#+信息安全等级保护（二级）建设方案2016年3月目录1.项目概述41.1.项目建设目标41.2.项目参考标准41.3.方案设计原则62.系统现状分析72.1.系统定级情况说明72.2.业务系统说明72.3.网络结构说明73.安全需求分析83.1.物理安全需求分析83.2.网络安全需求分析83.3.主机安全需求分析93.4.应用安全需求分析93.5.数据安全需求分析93.6.安全管理制度需求分析94.总体方案设计94.1.总体设计目标94.2.总体安全体系设计104.3.总体网络架构设计124.4.安全域划分说明125.详细方案设计技术部分135.1.物理安全135.2.网络安全135.2.1
2、.安全域边界隔离技术135.2.2.入侵防范技术135.2.3.网页防篡改技术145.2.4.链路负载均衡技术145.2.5.网络安全审计145.3.主机安全155.3.1.数据库安全审计155.3.2.运维堡垒主机155.3.3.主机防病毒技术165.4.应用安全166.详细方案设计管理部分166.1.总体安全方针与安全策略176.2.信息安全管理制度186.3.安全管理机构186.4.人员安全管理186.5.系统建设管理196.6.系统运维管理196.7.安全管理制度汇总217.咨询服务和系统测评227.1.系统定级服务227.2.风险评估和安全加固服务227.2.1.漏洞扫描227.2.
3、2.渗透测试227.2.3.配置核查227.2.4.安全加固227.2.5.安全管理制度编写247.2.6.安全培训247.3.系统测评服务248.项目预算与配置清单258.1.项目预算一期（等保二级基本要求）258.2.利旧安全设备使用说明261. 项目概述1.1. 项目建设目标为了进一步贯彻落实教育行业信息安全等级保护制度，推进学校信息安全等级保护工作，依照国家计算机信息系统安全保护等级划分准则、信息系统安全等级保护基本要求、信息系统安全保护等级定级指南等标准，对学校的网络和信息系统进行等级保护定级，按信息系统逐个编制定级报告和定级备案表，并指导学校信息化人员将定级材料提交当地公安机关备案
4、。本方案中，通过为满足物理安全、网络安全、主机安全、应用安全、数据安全五个方面基本技术要求进行技术体系建设；为满足安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面基本管理要求进行管理体系建设。使得学校信息系统的等级保护建设方案最终既可以满足等级保护的相关要求，又能够全方面为学校的业务系统提供立体、纵深的安全保障防御体系，保证信息系统整体的安全保护能力。本项目建设将完成以下目标：1、以学校信息系统现有基础设施，建设并完成满足等级保护二级系统基本要求的信息系统，确保学校的整体信息化建设符合相关要求。2、建立安全管理组织机构。成立信息安全工作组，学校负责人为安全责任人，拟
5、定实施信息系统安全等级保护的具体方案，并制定相应的岗位责任制，确保信息安全等级保护工作顺利实施。3、建立完善的安全技术防护体系。根据信息安全等级保护的要求，建立满足二级要求的安全技术防护体系。4、建立健全信息系统安全管理制度。根据信息安全等级保护的要求，制定各项信息系统安全管理制度，对安全管理人员或操作人员执行的重要管理操作建立操作规程和执行记录文档。5、制定学校信息系统不中断的应急预案。应急预案是安全等级保护的重要组成部分，按可能出现问题的不同情形制定相应的应急措施，在系统出现故障和意外且无法短时间恢复的情况下能确保生产活动持续进行。6、安全培训：为学校信息化技术人员提供信息安全相关专业技术
6、知识培训。1.2. 项目参考标准我司遵循国家信息安全等级保护指南等最新安全标准以及开展各项服务工作，配合学校的等级保护测评工作。本项目建设参考依据：指导思想中办200327号文件（关于转发国家信息化领导小组关于加强信息安全保障工作的意见的通知）公通字200466号文件（关于印发信息安全等级保护工作的实施意见的通知）公通字200743号文件（关于印发信息安全等级保护管理办法的通知）公信安20091429关于开展信息安全等级保护安全建设整改工作的指导意见全国人大关于加强网络信息保护的决定国发201223号国务院关于大力推进信息化发展和切实保障信息安全的若干意见国发20137号国务院关于推进物联网有
7、序健康发展的指导意见公信安20142182号关于加强国家级重要信息系统安全保障工作有关事项的通知（ 公信安20142182号） 等级保护GB 17859-1999 计算机信息系统安全保护等级划分准则GB/T25058-2010 信息系统安全等级保护实施指南系统定级GB/T 22240-2008 信息安全技术 信息系统安全保护等级定级指南技术方面GB/T25066-2010 信息安全产品类别与代码GB/T17900-1999 网络代理服务器的安全技术要求GB/T20010-2005 包过滤防火墙评估准则GB/T20281-2006 防火墙技术要求和测试评价方法GB/T18018-2007 路由器
8、安全技术要求GB/T20008-2005 路由器安全评估准则GB/T20272-2006 操作系统安全技术要求GB/T20273-2006 数据库管理系统安全技术要求GB/T20009-2005 数据库管理系统安全评估准则GB/T20275-2006 入侵检测系统技术要求和测试评价方法GB/T20277-2006 网络和终端设备隔离部件测试评价方法GB/T20279-2006 网络和终端设备隔离部件安全技术要求GB/T20278-2006 网络脆弱性扫描产品技术要求GB/T20280-2006 网络脆弱性扫描产品测试评价方法GB/T20945-2007 信息系统安全审计产品技术要求和测试评价方
9、法GB/T 21028-2007 服务器安全技术要求GB/T25063-2010 服务器安全侧评要求GB/T 21050-2007 网络交换机安全技术要求（EAL3）GB/T28452-2012 应用软件系统通用安全技术要求GB/T29240-2012 终端计算机通用安全技术要求与测试评价方法GB/T28456-2012 IPsec协议应用测试规范GB/T28457-2012 SSL协议应用测试规范管理方面GB/T20269-2006 信息系统安全管理要求GB/T28453-2012 信息系统安全管理评估要求GB/T20984-2007 信息安全风险评估规范GB/T24364-2009 信息安
10、全风险管理指南GB/T20985-2007 信息安全事件管理指南GB/T20986-2007 信息安全事件分类分级指南GB/T20988-2007 信息系统灾难恢复规范方案设计GB/T25070-2010 信息系统等级保护安全设计技术要求等保测评GB/T28448-2012 信息系统安全等级保护测评要求GB/T28449-2012 信息系统安全等级保护测评过程指南1.3. 方案设计原则针对本次项目，等级保护整改方案的设计和实施将遵循以下原则：n 保密性原则：我司对安全服务的实施过程和结果将严格保密，在未经用户方授权的情况下不会泄露给任何单位和个人，不会利用此数据进行任何侵害客户权益的行为； n
11、 标准性原则：服务设计和实施的全过程均依据国内或国际的相关标准进行；根据等级保护二级基本要求，进行分等级分安全域进行安全设计和安全建设。n 规范性原则：我司在各项安全服务工作中的过程和文档，都具有很好的规范性（南宁市学家科技有限公司安全服务实施规范），可以便于项目的跟踪和控制； n 可控性原则：服务所使用的工具、方法和过程都会在深信服与用户方双方认可的范围之内，服务进度遵守进度表的安排，保证双方对服务工作的可控性； n 整体性原则：服务的范围和内容整体全面，涉及的IT运行的各个层面，避免由于遗漏造成未来的安全隐患； n 最小影响原则：服务工作尽可能小的影响信息系统的正常运行，不会对现有业务造成
12、显著影响。n 体系化原则：在体系设计、建设中，深信服充分考虑到各个层面的安全风险，构建完整的立体安全防护体系。n 先进性原则：为满足后续不断增长的业务需求、对安全产品、安全技术都充分考虑前瞻性要求，采用先进、成熟的安全产品、技术和先进的管理方法。n 分步骤原则：根据用户方要求，对用户方安全保障体系进行分期、分步骤的有序部署。n 服务细致化原则：在项目咨询、建设过程中深信服将充分结合自身的专业技术经验与行业经验相结合，结合用户方的实际信息系统量身定做才可以保障其信息系统安全稳定的运行。2. 系统现状分析2.1. 系统定级情况说明学校综合考虑了学校信息系统、学校信息系统的业务信息和系统服务类型，以
13、及其受到破坏时可能受到侵害的客体以及受侵害的程度，经学校省公安厅的批准，已将学校系统等级定为等级保护第二级（S2A2G2），整体网络信息化平台按照二级进行建设。2.2. 业务系统说明学校本次参加整改的共有X个信息系统，分别是学校系统、学校系统、学校系统、学校系统，具体情况介绍如下：学校门户网站系统：2012年门户网站（网络版）历经系统开发、模拟测试、网络、硬件设备安装部署，在试点和实施过程当中发现系统仍有不足之处，需要对系统进行深入完善和改进，主要考虑到由于门户网站（网络版）作为学校集中部署的网络化重要业务系统，其具有应用面广、用户规模大，并涉及到学校对互联网形象，以及基于公众网上部署的特性，
14、因此系统自身和运行环境均存在一定的安全风险，在数据传输、安全加密、网络监控、防入侵等方面的必须要建立一套更有效更完善的安全保护体系和措施。学校OA系统：目前学校旧OA系统准备停用，并且已经开发和准备上线新的业务系统，新的业务系统目前准备对公网直接公开访问，因此涉及到的能够访问到业务系统的规模比较大，而且整个网络相对会比较复杂、流量多变，所以系统任有较多不足，在本次建设过程中应该加强安全建设，系统自身和运行环境均存在一定的安全风险，在数据传输、安全加密、网络监控、防入侵等方面的必须要建立一套更有效更完善的安全保护体系和措施。2.3. 网络结构说明学校信息系统网络拓扑图现状如下：3. 安全需求分析3.1. 物理安全需求分析目前在机房建设方面还存在如下问题：1、 物理访问控制；2、 防雷击；3、 防火墙；4、 防水防潮；5、 温湿度控制；3.2. 网络安全需求分析边界入侵防范：该信息系统无法实现对边界的访问控制，需要部署下一代署防火墙等安全设备来实现。防web攻击和网页防篡改：该信息系统无法实现对边界的访问控制，需要部署下一代署防火墙等安全设备来实现。安全域边界安全审计：该信息系统无法实现对边界的访问控制，需要部署署网络安全审计等安全设备来实现。3.3. 主机安全需求分析主机防病毒：该信息系统缺少主机防病毒的
