XXXX集团信息安全建设整体规划

XXX整体规划目录一.概述 3二.设计方法 3wordword格式-可编辑-感谢下载支持标准化原则 4整体化原则 4等级化原则 6三.XXX集团信息化和安全现状分析 7四.XXX集团信息安全保障总体框架 11总体安全方针 11安全使命 11安全目标 11安全保障框架 11五.XXX集团信息安全建设整体规划 13信息安全管理体系建设 13安全组织建设 13安全策略建设 13安全运维建设 14物理安全建设 19网络安全建设 20系统安全建设 20应用和数据安全建设 21系统和数据备份管理 22应急响应管理 22灾难恢复管理 22人员管理和教育培训 22六.XXX集团信息安全建设后的拓扑结构 .2一.概述XXXXXX强信息安全风险防范能力。XXX的宗旨与目标，安全保障框架要求，建设总体策略选择，具体安全技术方案等内容。XXX等。适用于各管理职能部门的信息安全管理、建设和维护工作。二.设计方法XXXXXX集团未来信XXX架所涉及的项目优先级确定、项目计划、项目预算等提供依据。XXXXXXIT系统的实际情况和现实问题为基体性好、可操作性强，并且融组织、管理和技术为一体的安全建设方案。XXX集团安全建设方案可分为安全总体方针、安全组织设计、安全策略规划、安全技术方案、安全运作等几个方面，主要针对对象是XXX集团IT系统，具体涉及网络、主机、应用软件、数据库和业务数据安全等诸多层次。安全方案设计的三个原则如下：整体性原则（管理制度、人员等，避免由于遗漏造成未来的安全隐患。符合性原则27IT内控的各种规范。标准性原则17799标准、ISO13569标准等；标准化原则本项目参考的相关标准和文档包括：美国国家安全战略美国的《保护网络空间的国家战略》俄罗斯联邦信息安全学说欧洲信息与网络安全策略ISO27001ISO15408/CCIATF等级保护基本要求等级保护安全技术设计要求整体化原则一般地，对安全保障框架的研究主要采用两种思路，一是“模型化XXXIATFXXX集团安全保障框架模型。下图即是IATF安全保障框架模型示意图。这个示意图说明了安全保障框架的构成。ITIT安全保障框架操作人技术保护网络与基保护边界保护计算保护支撑础设施环境性基础设图1 IATF安全保障框架而后，通过分析具体问题，并结合最佳实践设计安全保障框架，过程如下：界定安全问题的范围正如前面所提，信息安全问题涉及的范围很广，有时甚至和传统安全问题牵扯在一起。这给解决安全问题带来了很大的难度。因此要科学地对待信息安全问题，首先必须明确定义信息安全问题的范围。对安全问题进行结构化分析当信息安全问题的范围已经被明确后，它必须按照结构化原理被不断地细分。这时整个IT系统已经被结构化为多个安全保护对象，而保护对象面临着诸多威胁。设计安全保障框架XXXITXXXIT系统的安全对策，形成安全保障框架。XXXIT系统面临的每一项安全威胁都从现有安全标准或者最佳实践中选择XXXIT系统的安全保障框架。综上所述，安全保障框架的设计采用了先分析后综合的思路，而在这个过程中，威胁分析起了至关重要的作用。等级化原则2003优化信息安全资源的配置，确保重点。5的要求，主要还是依据XXX5安全等级第一级

基本描述适用于一般的IT能、机构财产、人员造成较小的负面影响。

安全保护要求参照国家标准自主进行保护。第二级 适用于处理日常信息和提供一般服务的IT系统，系统

在主管部门的指导下，按到破坏后对机构履行其职能、机构财产、人员造成中等程度照国家标准自主进行保护。的负面影响。第三级 适用于处理重要信息和提供重要服务的IT系统，系统遭在主管部门的监督下，到破坏后对机构履行其职能、机构财产、人员造成较大的国家标准严格落实各项保面影响，对国家安全造成一定程度的损害。 措施进行保护。第四级 适用于涉及国家安全、社会秩序、经济建设和公共利益的在主管部门的强制监督和重要IT系统，系统遭到破坏后对机构履行其职能、机构财检查下，按国家标准严格落产、人员造成严重的负面影响，对国家安全造成较大损害。实各项措施进行保护。第五级 适用于关系国家安全、社会秩序、经济建设和公共利益的根据安全需求，由主管核心系统，系统遭到破坏后对机构履行其职能、机构财产门和运营单位对IT系统进wordword格式-可编辑-感谢下载支持人员造成极其严重的负面影响，对国家安全造成严重损害。行专门控制和保护。图2 等级保护内容第一级自主性保护级是指参照国家标准自主进行保护。主要适用于一般信息系统。适用于内部信息系统，第三级安全的信息系统具备对信息和系统进行比较完整的系统化的安全保护能力。XXX集团的主要系统按照第三级的安全要求管理和建设。三.XXX集团信息化和安全现状分析XXX电子商务，BI商业智能，MES等信息系统，实施了财务企业的执行力，推动了公司从科学化管理向现代化管理迈进的步伐。90%以上，产品实时99.5%12%10%wordword格式-可编辑-感谢下载支持XXX的管理体系还不完善，信息安全控制措施较少，拓扑如示意图所示：XXX100M,60MIPSECVPN系统SSLVPN出办公人员对内部业务系统的安全访问。对互联网公众发布了网站系统，展示公司公司形象和产品。通过互联网发布了OA和ERP系统，方便公司员工通过远程访问。通过在多台刀片机部署vmware虚拟化系统实现了集团的服务器硬件虚拟化，极大的方便了管理和维护，并实现了硬件资源利用最大化。通过应用和桌面发布系统实现了业务系统虚拟化，用户可以瘦客户端直接在云端完成应用和桌面的操作，结合动态口令牌实现了对业务系统的安全访问。采用两台HP小型机作为数据库服务器，并通过存储系统实现核心业务数据的本地存储和备份。mac和端口的绑定策略实现了终端接入H3CEAD在安全管理方面，XXX集团制定了基本的安全操作制度和人员安全的管理制度。实际运行中还存在以下问题需要解决：安全管理制度不全目前尚未建立完整的安全管理体系，安全相关人员、制度、流程都不全，出现安全事件没有响应的应急响应预案和机制，对业务的连续性也没有完善的管理机制。业务系统应用和数据安全问题有两方面隐患，一方面是终端上缺乏强制控制手段，无法避免员工通过截屏，U数据中心运维安全问题但对于网络设备，安全设备，非虚拟化的实体机还有相应的审计措施，一旦这些系统出现问题，也没有办法进行追溯。数据中心区域安全隔离问题目前所有业务服务器和数据库服务器都在同一个网段，没有进行任何隔离控制措施，一旦一点突破，就权限突破，存在严重的安全隐患。生产系统安全隔离问题MES坏的。网站和对外发布的业务系统的安全问题B/ShttpWEBhttp协议中注入攻击代码直电脑大范围死机，网络拥塞，公司业务无法开展。Windows统出了问题，你用再好的药也控制不了病毒。UUUU，U越来越多，感染的电脑越来越多。所以一旦出现大规模蠕虫病毒爆发，没有统一的防护和控制手段，会出现计算机死机，网络瘫痪，业务系统无法使用，业务系统被破坏等问题，公司业务就无法开展了。信息系统（网络设备，服务器，安全设备，业务系统，数据库）题和安全漏洞造成的安全问题。配置完善起来，其就有可能被各种安全威胁所侵扰。无线安全问题无线网络的出现使有线网络所有做的安全努力都有可能失效，无线技术已经使全控制措施，从而使业务系统暴漏在攻击威胁之下。当前XXX集团可能面临如下的无线安全问题：APAP外部非法终端接入内网，或造成内部资料外泄。WLANAP，从而将内部信息外泄。——无线网络扫描。扫描是攻击的前期行为，是安全隐患。AP，AP，骗无线用户与其关联，从而获得合法用户的信息，包括用户名、密码等。DoS线用户的合法接入遭到破坏，影响网络使用。APAP（上伪造一个合AP，InternetAP，从而造成信息泄漏。数据容灾备份的问题XXX本地备份能解决的了。四.XXX集团信息安全保障总体框架总体安全方针安全使命保障业务持续，促进业务发展信息安全必须为业务服务，脱离业务的信息安全也就失去了其真正的意义。保证实现业务服务的信息系统正常运行，进而使XXX集团的业务持续开展，就成为了信息安全建设的最根本使命。业务创新能力成为业务增值过程中的重要手段。业务创新背后离不开信息安全技术的支撑。运用信息安全技术和管理支撑业务创新的能力将会成为XXX集团的业务趋向安全保障的使命。安全目标保证信息的机密性、完整性和可用性（直接目标）信息机密性是指信息仅可让授权获取的人士访问。信息完整性是指保护信息和处理方法的准确和完善。信息可用性是指确保授权人需要时可以获取信息和相应的资产。信息安全必须保证信息的机密性、完整性和可用性，这是信息安全建设的重要目标。XXX集团信息安全的建设必须以保证信息的机密、完整和可用为安全保障战略目标，这是XXX集团的需要，是企业信息化发展的需要，也是所有用户的需求。安全保障框架XXX素，即每条安全控制，都可以描述为“根据某某策略，由某某组织（或人员术，进行某某操作体系和运作体系。这四个体系构成了安全保障框架。XXX集团安全保障框架框架总体示意如下图所示：XXXXXX需求和等级决定了整体安全保障的强度和力度。安全策略体系XXX实施细则，做好安全标准体系相关工作。安全组织体系落实信息安全管理机构和人员安全管理部分的相关内容，指导XXX集团安全职能的落实、岗位设置和相关人员的安全管理。安全技术体系：落实等级保护以及信息安全管理体系相关标准中安全技术中的所有控制要求，实现物理、网络、主机、应用和数据的所有安全控制项，通常采用安全技术产品加以实现。安全运作体系：贯穿组织、策略和技术的流程和规范，是安全工作的关键，落实系统安全建设和系统安全运维管理部分的控制要求，指导XXX集团的安全实施和运维的具体实现。安全组织、安全策略以及安全运作统称为安全管理体系建设。五.XXX集团信息安全建设整体规划信息安全管理体系建设安全组织建设XXX职能部门负责日常工作的组织模式。信息安全领导小组职责XXXXXX确保安全管理和建设有一个明确的方向，从管理层角度对信息安全管理提供支持。信息安全工作组职责信息安全工作组是由信息技术部领导牵头，内设专职的安全管理组织和岗位，负责日常具体工作的落实、指导和协调。安全策略建设XXXISO27001GB/T22239-2008基本管理要求架构为信息安全策略XXX评估，如图所示：安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理系统废止管理系统检查与评估管理制度体系组织结构人员录用等级保护管理环境管理检查管理制定和发布机构职责人员离岗系统设计与采购资产管理审计管理执行和监督机构管理要求人员培训与考核系统开发与实施介质管理风险评估管理管理交付制度管理监控管理网络安全管理系统安全管理数据交换管理恶意代码防范管理密码管理变更管理备份与恢复管理安全事件处置应急预案管理安全运维建设基本安全管理要求评审和修订基本安全管理要求评审和修订外部人员访问系统测试验收与设备管理XXX务开展和日常办公的支撑作用和效益。为此本方案设计了安全运维体系涉及到各类日常运维操作规范和流程和安全事件管理与应急响应流程，构成了支撑和落实各项信息安全管理方针和策略的坚实基础。日常运维管理环境管理XXX集团所有的服务器和核心网络设备均按照要求放置在集中的机房中，为了保证机房的各项安全资源的稳定可靠，制定《机房安全管理制度》，对以下方面进行规定：机房电力、空调、门禁、监控等设备的管理进行规定；规定进出机房要求和记录；规定对机柜、服务器、电源等设备的进入、变动和移出等操作；机房责任人和日常运维职责内容。XXX下方面进行规定：办公室的信息安全要求；办公终端信息安全保密要求；办公终端使用规范。资产管理信息资产是构成网络和信息系统的基础，是系统各种服务功能实现的提供者和信息《资产管理制度》括以下内容：规定信息分类和识别，不同类别的存放、处理和传输的安全要求；按照信息系统制定资产清单，包括责任人、重要程度、供应商、部署位置等信息；资产的申报、领用、维修和报废流程；要求定期对资产进行盘点和安全性审计。资产对备份的要求。网络安全管理《网络安全管理制度》对网络的架构和设备的安全管理进行约定，主要包括以下内容：IP地址分配；网络接入安全要求；网络设备操作规范流程；网络设备安全配置和版本更新要求；网络设备帐户授权、验证和审计要求；网络流量和网络漏洞的监控。为落实网络安全管理，将设计以下若干技术规范：IP地址管理流程》《网络接入安全管理流程》《网络设备安全技术规范》《网络设备的维护流程》系统安全管理程和规范的运维流程和规范。主要包括以下内容：应根据业务需求和系统安全分析确定系统的访问控制策略；系统管理角色分离要求、权限、责任分配原则；要求进行系统配置管理和变更管理；操作系统安全运维流程；数据库安全运维流程；应用平台安全运维流程；系统安全日志审核要求；系统备份和数据备份要求。每个系统管理具体安全管理制度的落实依靠如下相关支撑技术规范和流程：防恶意代码管理恶意代码防范是一项全员需要进行安全管理工作，因此单独制定《防恶意代码管理制度》指导全体员工防范由于恶意代引起的安全风险：规定全员防恶意代码的职责；明确恶意代码的可能感染源和防范手段；明确恶意代码的报告流程；防恶意代码产品的安装、使用、升级流程；恶意代码事件的统计、报告流程。监控管理和IT门户系统建立集中的安全监控和管理中心相配套的安全监控管理制度，对监控内容、监控方内容：发布情况、安全设备报警信息等；安全监控的方式和工具；监控记录的审计和分析；可疑事件的报告；密码管理敏感系统应使用符合国家密码管理规定的密码技术和产品，同时建立密码管理制度，加强对密码和加密设备的管理。按照等级保护和ISO27001要求建立《密码使用管理制度》,对一下方面进行规范：密码复杂度管理密码定期修改管理多因素认证管理密码保存管理变更管理信息安全风险是“动态”的主要因素之一，就是网络和信息系统是会发生变化的，为了防范由于网络和系统变化对整体安全现状的影响，规避变更产生的风险，制定《变更管理制度》。对以下方面进行规范：规范变更管理的范围；规范变更流程，制定申报、方案制定、变更审核、审批流程；要求变更过程记录；进行系统变更前备份；要求制定变更失败恢复流程和进行恢复测试；备份与恢复管理为了保证业务连续性，XXX集团制定《备份与恢复管理制度》规范以下内容：规定系统进行安全需求分析时要考虑备份措施要求；XXX储介质、保存期限及恢复测试频次；规定备份存储介质的放置、命名、管理和离站运输方法。安全事件管理和应急响应《安全事件管理制度》《应急响应预案管理制度》度来落实。其中《安全事件管理制度》规定以下内容：安全事件的定义、等级划分；不同等级安全事件的发现、报告、分析、处置流程；安全事件的原因分析、记录处理、经验教训总结和补救措施的制定流程；要求每个信息系统做好安全事件记录管理。《应急响应预案管理制度》规定以下内容：要求针对典型事件和重大事件制定相应的应急响应预案；规定应急响应人力、设备、技术、财务等相关支撑资源；规定应急响应预案的框架和模板；规定应急响应预案的演练和演练流程；物理安全建设按照国家对于计算机机房的相关建设标准，制定统一的计算机机房建设标准和管理规范，对于计算机机房建设中的环境参数、保障机制，以及运行过程中的人员访问控制、监控措施等进行统一约定，颁布统一的计算机机房管理制度，对设备安全管理、介质安全管理、人员安全管理等作出详细的规定。的标准，保证物理环境安全。关键应用系统的服务器主机和前置机服务器、主要的网络设备必须放置于计算机机房内部的适当位置，通过物理访问控制机制，保证这些设备自身的安全性。域，访问控制机制还需要能够提供审计功能，便于检查和分析。24制度。理等做出详细的规定。管理机构应当定期对计算机机房各项安全措施和安全管理制度的有效性和实施状况进行检查，发现问题，进行改进。网络安全建设网络安全是信息安全保障的重点，制定统一的网络结构技术标准，对如何划分内部信息系统的安全区域，安全区域的边界采取的隔离措施，进行约定，保证内部网络与外部网络、办公网与业务生产网,不同业务网之间的安全隔离。制定统一的互联网接入点、外联网接入点的技术标准和管理规范，统一约定网络边界接入点的网络结构、安全产品的部署模式，保证内部网络与外部网络之间的安全隔离。制定统一的远程移动办公技术标准和管理规范，保证远程移动办公接入的安全性。制定统一的无线网络接入的安全技术标准和管理规范，确保无线接入的安全管理。制定统一的网络安全系统建设标准和管理规范。针对XXX集团的信息安全现状的分析，当前网络安全建设需要解决的问题如下：ACLMES墙隔离还只是逻辑层面的，生产厂区的MES全物理隔离，建议更换为物理隔离措施解决。APAPAPAP进行识别和阻断，对很对合法AP和阻断。备的安全级别。作都处于监控状态，一旦有人非法操作或者恶意操作造成这些系统出现问题的时候可以进行预警和追踪溯源。系统安全建设系统安全的工作内容包括制定统一的系统安全管理规范，包括主机入侵检测、系统安全漏洞分析和安全策略加固，提升服务器主机系统的安全级别。制定统一的网络病毒查杀系统的建设标准和管理规范，有效抑制计算机病毒在内部网络和信息系统中的传播和蔓延。针对XXX集团的信息安全现状的分析，当前系统安全建设需要解决的问题如下：安全级别。恶意代码策略的统一定制下发，恶意代码的定时统一查杀。U利用运维审计技术，对访问操作系统的所有操作进行记录，确保所有操作都处于监应用和数据安全建设应用安全机制在应用层为业务系统提供直接的安全保护，能够满足身份认证、用户授权，安全访问控制、数据安全使用和传输，业务安全审计等安全需求。制定统一的身份认证、授权与访问控制、数据加密，业务安全审计等应用层安全系统的建设标准和管理规范，改善业务应用系统的整体安全性。针对XXX集团的信息安全现状的分析，当前应用安全建设需要解决的问题如下：利用针对B/S定期的对其漏洞进行检测和分析，对安全配置进行检查，及时修补漏洞，完善安全配置，提升应用系统和数据库的安全级别。B/SWEB攻击行为并进行预警和阻断。被非授权带出企业网络，是不可读的处于乱码状态，确保数据的保密性