信息安全等级保护安全整改方案模版

1信息安全等级保护安全整改方案xxx 公司20xx 年 x 月2工作项目清单序号 工作项目 数量（人天） 单价 总价 备注1 物理安全差距分析2 主机安全差距分析3 网络安全差距分析4 应用安全差距分析5 数据安全差距分析6 安全管理机构差距分析7 人员安全管理差距分析8 安全管理制度差距分析9 系统建设管理差距分析10 系统运维管理差距分析11 等级保护整改方案设计12 安全管理组织及职责13 人员安全管理14 安全管理制度15 系统建设管理16 系统运维管理17 物理安全整改18 主机安全整改19 网络安全整改20 指导完成应用安全整改21 数据安全整改22 安装和部署各项新增安全设备23 安全培训 ？人次等级保护测评师（中级）合计(可根据实际情况完成该表 .)信息安全等级保护安全服务方案34目 录第一章 概述 201.1 项目背景 201.2 现状描述 20第二章 总体设计 262.1 项目目标 262.2 项目原则 262.3 项目依据 272.3.1 政策法规 272.3.2 标准规范 282.4 实施策略 282.4.1 技术体系分析 .282.4.2 管理体系分析 .292.4.3 业务系统分析 .292.4.4 充分全面的培训 .302.5 项目内容 312.5.1 差距分析 312.5.2 整改方案设计 .312.5.3 安全优化与调整 .312.5.4 等级保护管理制度建设 .31第三章 差距分析 3253.1 工作目的 323.2 工作方式 323.3 工作内容 333.3.1 物理安全 343.3.2 主机安全 353.3.3 网络安全 393.3.4 应用安全 433.3.5 数据安全及备份恢复 .473.3.6 安全管理制度 .513.3.7 安全管理机构 .543.3.8 人员安全管理 .583.3.9 系统建设管理 .623.3.10 系统运维管理 .653.4 提交成果 69第四章 等级保护整改方案设计 .704.1 工作目的 704.2 工作方式 704.3 工作内容 714.4 提交成果 73第五章 系统优化及调整 745.1 工作目的 745.2 工作方式 7465.3 工作流程 745.4 工作内容 755.5 提交成果 76第六章 等级保护管理制度建设 .766.1 工作目的 766.2 工作方式 776.3 工作内容 776.4 工作成果 78第七章 培训与验收 817.1 培训内容 817.1.1 等级保护整改培训 .817.1.2 信息安全等级保护培训 .827.1.3 认证考试 827.2 项目验收 827.2.1 验收依据和标准 .827.2.2 验收内容 83第八章 项目管理与组织 858.1 项目管理架构 858.2 项目成员 878.3 项目进度 89第九章 国都兴业服务特色 .919.1 丰富的服务经验 919.2 有保障的服务团队 .9179.3 严格明确的服务原则 .919.4 专业化的服务队伍 .92第十章 服务质量保证 9310.1 制定质量计划 9310.2 规范质量审核 9410.3 质量文档管理 9410.4 服务报告制度 9510.5 客户满意度调查制度 .958概述项目背景信息安全等级保护是国家信息系统安全保障工作的基本制度和基本国策，是国家对基础信息网络和重要信息系统实施重点保护的关键措施。按照国家有关主管部门的要求，某部委开展了等级保护相关工作。前期，某部委已对应用系统进行了定级，并邀请某评测机构对相关网络和应用系统进行了预测评，已形成预测评报告。为了解决所存在的问题，顺利通过某评测机构的等级保护测评，拟开展某部委部本级信息安全等级保护安全建设整改工作。现状描述某部委开展信息安全等级保护工作的网络系统有两个，一个是外网，一个是业务专网，两个网络彼此物理隔离，外网与互联网逻辑隔离。业务专网部机关局域网目前有用户约 500 个，横向通过专线连接 130 多个预算部门、代理银行等。纵向通过专线连接 35 个驻省市某专员办和 36 个省市某部委门。业务专网局域网部署的安全设备类型包括防火墙、网络入侵检测、漏洞扫描、网络审计、防病毒系统、安全管理服务器等安全设备，制造厂商为国内主流安全设备厂商。业务专网的服务器主要为 IBM、HP 的 PCserver和小型机，服务器操作系统包括 WINDOWS 2003 server、WINDOWS 2008 server、LINUX 、UNIX 等操作系统，数据库有 SQL SERVER、ORACLE 等，中间件有 JBOSS、WEB LOGIC、TOMCAT 等。网络设备为主流交换机和路9由器。业务专网中有共有安全设备约 11 台、网络设备约 40 台、服务器约 70 台。外网局域网目前有用户约 1000 个，通过租用 3 条运营商专线接入互联网，与互联网逻辑隔离。外网局域网部署的安全设备主要包括防火墙、网络入侵检测、漏洞扫描、网络审计、防病毒系统、防 DDOS 攻击设备、 WEB 防纂改系统、安全管理服务器等安全设备，制造厂商为国内主流安全设备厂商。外网服务器主要为 IBM、HP 的 PC-server 和小型机，服务器操作系统包括 WINDOWS 2003 server、WINDOWS 2008 server、LINUX、UNIX 等操作系统，数据库有 SQL SERVER、ORACLE 等，中间件有 JBOSS、WEB LOGIC、TOMCAT 等。网络设备为主流交换机和路由器。某部委设备具体情况见下表:某部委设备情况说明表网 络 设 备类型 用 途 厂 商 型 号 /操 作系统 数 量服务 器服务 器服务 器服务 器服务 器、 数 据库数据 库交换 机交换 机交换 机交换 机交换 机交换 机交换 机业务 专网网络 设备交换 机10交换 机交换 机交换 机路由 器路由 器路由 器路由 器交换 机交换 机交换 机入侵 检测漏洞 扫描审计 系统万兆 防火 墙IDS安全 设备VPN外网中有安全设备约 10 台、网络设备约 40 台、服务器约 60 台。服务 器服务 器服务 器服务 器服务 器存储其他服务 器、 数 据库数据库交换 机交换 机交换 机交换 机交换 机路由 器交换 机交换 机交换 机交换 机路由 器路由 器外网网络 设备交换 机11交换 机交换 机交换 机防火 墙防 d os 电 信 ）防 d os 联 通 ）IDS漏扫审计防火 墙防火 墙防火 墙安全 设备IPS万兆 防火 墙应用系统定级情况如下：某业务专网和外网整体定为三级。应用系统已定为三级的系统 15 个 ， 二级的系统 32 个，已进行预测评的系统 37 个，在开发升级改造过程中而未 预测评的系统 10 个，具体情况见下表。序 号 系 统名称 等 级 用 户数量 使 用频度 预 测评情况1 系统 1 S3A2G3 实时 完成 预测 评2 系统 2 S2A2G2 实时 完成 预测 评3 系统 3 S2A1G2 实时 完成 预测 评4 系统 4 S2A2G2 实时 完成 预测 评5 系统 5 S3A3G3 阶段 性频 繁 完成 预测 评126 系统 6 S3A3G3 经常 完成 预测 评7 系统 7 S3A2G3 阶段 性频 繁 完成 预测 评8 系统 8 S3A3G3 每月 至少 一次 完成 预测 评9 系统 9 S3A3G3 经常 完成 预测 评10 系统 10 S3A3G3 经常 完成 预测 评11 系统 11 S3A3G3 实时 完成 预测 评12 系统 12 S3A3G3 每天 完成 预测 评13 系统 13 S2A3G3 实时 完成 预测 评14 系统 14 S3A3G3 实时 完成 预测 评15 系统 15 S2A2G2 每天 完成 预测 评16 系统 16 S2A1G2 经常 完成 预测 评17 系统 17 S2A1G2 实时 完成 预测 评18 系统 18 S2A2G2 每天 完成 预测 评序 号 系 统名称 等 级 用 户数量 使 用 频 度 预 测评情况19 系统 19 S2A2G2 季报 完成 预测 评20 系统 20 S2A2G2 实时 完成 预测 评21 系统 21 S2A2G2 阶段 性频 繁 完成 预测 评22 系统 22 S2A2G2 季度 报表 完成 预测 评23 系统 23 S2A2G2 实时 完成 预测 评24 系统 24 S2A2G2 实时 完成 预测 评1325 系统 25 S2A2G2 实时 完成 预测 评26 系统 26 S2A2G2 实时 完成 预测 评27 系统 27 S2A2G2 阶段 性频 繁 完成 预测 评28 系统 28 S2A2G2 阶段 性频 繁 完成 预测 评29 系统 29 S2A2G2 经常 完成 预测 评30 系统 30 S2A2G2 实时 完成 预测 评31 系统 31 S2A2G2 经常 完成 预测 评32 系统 32 S2A2G2 经常 完成 预测 评33 系统 33 S2A2G2 经常 完成 预测 评34 系统 34 S2A2G2 经常 完成 预测 评35 系统 35 S2A2G2 阶段 性频 繁 完成 预测 评36 系统 36 S2A2G2 经常 完成 预测 评37 系统 37 S2A2G2 实时 完成 预测 评38 系统 38 S3A3G3 实时 未完 成39 系统 39 S3A3G3 每天 未完 成40 系统 40 S3A3G3 实时 未完 成41 系统 41 S3A3G3 阶段 性频 繁 未完 成42 系统 42 S2A2G2 实时 未完 成43 系统 43 S2A2G2 实时 未完 成44 系统 44 S2A2G2 经常 未完 成45 系统 45 S2A2G2 阶段 性频 繁 未完 成46 系统 46 S2A2G2 经常 未完 成47 系统 47 S2A2G2 阶段 性频 繁 未完 成1415总体设计项目目标根据某评测机构提交的预测评报告，对某部委现有各网络和应用系统进行深入调研，了解包括安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维建设等安全管理建设情况，针对安全管理机构方面存在的人员配备、授权和审批、审核和检查等问题，安全管理制度存在的管理制度、评审和修订等问题，人员安全管理方面存在的人员考核问题，在系统建设管理方面存在的安全方案设计、外包软件开发等问题，在系统运维建设方面存在的环境管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、密码管理、变更管理、备份与恢复管理、应急预案管理等问题。了解包括物理安全、网络安全、主机安全、应用安全、数据安全等安全技术建设情况，针对在物理安全方面存在的物理访问控制问题，在网络安全方面存在的访问控制、网络审计、边界完整性、恶意代码防范、网络设备防护等问题，在主机安全方面存在的身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等问题，应用安全方面存在的身份鉴别、访问控制、安全审计、剩余信息保护、数据完整性、数据保密性、抗抵赖、软件容错和资源控制等问题，在数据安全方面存在的数据完整性和数据保密性等问题，根据某部委的实际情况，分析研判在安全管理建设和安全技术建设两方面与等级保护标准规范之间的差距和问题，提出各项整改建议，设计各项整改措施和手段，从技术和管理两方面制定安全建设整改方案，提出包括产品类16型、配置、数量、预计价格等在内的整改所需产品清单。项目原则为实现本项目的总体目标，结合某部委现有各网络与应用系统和未来发展需求，总体应贯彻以下项目原则。 保密原则：国都兴业公司在为某部委信息安全等级保护进行整改实施的过程中，将严格遵循保密原则，服务过程中涉及到的任何用户信息均属保密信息，不得泄露给第三方单位或个人，不得利用这些信息损害用户利益。并与某部委签订保密协议，承诺未经允许不向其他任何第三方泄露有关某部委的信息。 互动原则：国都兴业公司在整个信息安全等级保护整改实施过程之中，将强调客户的互动参与，不管是从准备阶段，还是差距分析阶段。每个阶段都能够及时根据客户的要求和实际情况对评估的内容、方式作出相关调整，进而更好的进行等级保护整改工作。 最小影响原则：信息安全等级保护差距分析工作应尽可能小的影响系统和网络的正常运行，不能对业务的正常运行产生显著影响（包括系统性能明显下降、网络阻塞、服务中断等） ，如无法避免，则应对风险进行说明。 规范性原则：信息安全等级保护整改的实施必须由专业的信息安全服务人员依照规范的操作流程进行，对操作过程和结果要有相应的记录，提供完整的服务报告。 质量保障原则：国都兴业公司在整个信息安全等级保护整改实施过程17之中，将特别重视项目质量管理。项目的实施将严格按照项目实施方案和流程进行，并由项目协调小组从中监督、控制项目的进度和质量。项目依据本项目方案编制依据和参考下列政策法规和标准规范。政策法规 中华人民共和国计算机信息系统安全保护条例（1994 国务院 147 号令） 计算机信息系统安全保护等级划分准则（GB178591999） 国家信息化领导小组关于加强信息安全保障工作的意见 （中办发200327 号） 关于信息安全等级保护工作的实施意见（公通字200466 号） 信息安全等级保护管理办法公通字200743 号 关于开展全国重要信息系统安全等级保护定级工作的通知（公信安2007861 号） 国家信息化领导小组关于加强信息安全保障工作的意见 （中办发200327 号）标准规范 计算机信息系统安全保护等级划分准则 （GB/T17859-1999） GBT22239-2008信息安全技术_信息系统安全等级保护基本要求18 GBT22240-2008信息安全技术_信息系统安全等级保护定级指南 信息安全技术信息系统等级保护安全设计技术要求 信息安全技术信息系统安全等级保护实施指南 信息安全技术信息安全等级保护整改规范 （GB/T20984-2007） 信息系统安全等级保护整改实施指南 信息技术安全技术信息安全管理体系要求 （GB/T22080-2008） 信息技术安全技术信息安全管理实用规则 （GB/T22081-2008） 信息技术安全技术信息技术安全管理指南 （ISO/IECTR13335） 信息技术安全技术信息技术安全性评估准则(GB/T18336-2001) 信息安全等级保护整改指南 信息安全风险管理指南实施策略此次等级保护整改将采取如下策略，来满足某部委信息安全等级保护整改的需求。技术体系分析技术体系结构分析主要针对某部委网络和信息系统的总体安全架构进行静态分析，通过分析某部委的整个网络拓扑架构，并深入了解各系统的业务状况，从而发现某部委信息安全建设中存在的问题，并提出相应的改进建议。19管理体系分析管理体系分析通过现场安全管理调查问卷表等形式进行静态分析，从安全策略、安全管理制度、安全管理组织、人员安全管理、系统建设管理和系统运维管理等方面，对某部委信息系统的现有安全管理措施进行识别和分析，提出管理规章制度和系统操作规程等方面的不足，并针对业务系统管理体系的建设提出完善的建议。管理体系分析将结合某部委信息安全建设的具体情况，主要涵盖如下内容： 物理安全策略：如机房环境、门禁系统、设备锁、数据备份、CMOS安全设置等。 访问控制策略：内部网络和外界网络之间、内部不同安全域之间的访问控制策略。 安全配置及更新策略：对操作系统、应用系统、安全产品等进行升级更新、设置用户访问权限及信任关系等。 管理员和用户策略：制定机房出入管理制度、实行安全责任制等。 安全管理策略：安全规则设置、安全审计、日志分析、漏洞检测及修补等。 密码安全策略：密码复杂度、密码更改周期、密码有效期等。 紧急事件策略：针对攻击和入侵可能导致的结果制定应急处理流程和灾难恢复计划。20业务系统分析业务系统分析主要是分析信息系统承载的数据和业务流程，只有围绕着信息系统所承载的数据和业务进行详尽的分析，才能够准确地识别关键资产，才能明确要保护的对象，从而做到有的放矢。在对关键资产进行识别时，不应将资产的实际价格作为考虑重点，更为重要的是要考虑资产对于业务的重要性，也就是说根据资产损失所引发的潜在业务影响来决定关键资产。因此所识别的关键资产不会是孤立的服务器、数据库，而应是这些设备所承载和保护的业务数据和对内、对外提供的服务。以上提到的设备作为信息系统业务流程分析中的关键系统单元，它们在信息系统中的作用是承载业务数据，保护系统提供的业务服务能够安全、顺利进行。通过对某部委业务系统进行详尽的分析，才能了解应用系统的部署模式、用户认证及访问控制策略、权限的授权方式及流程、系统间的接口发布与调用模式，并分析其中的安全风险，从而提出相应的修改建议。充分全面的培训在此次等级保护整改实施过程中，将结合某部委安全管理方面的具体情况，对某部委信息部门相关人员进行多次、全面的等级保护整改培训，为今后实施等级保护自查工作奠定良好的基础。21项目内容为实现项目目标，在本次等级保护咨询项目中，将包括系统定级、差距分析、等级保护整改、体系设计、等级保护管理制度建设、安全优化与调整以及信息安全服务七项工作内容。差距分析差距分析工作内容就是根据网络和信息系统的安全保护等级，根据国家等级保护相应等级的技术和管理要求，分析评价网络和信息系统当前的安全防护水平和措施与相应等级要求之间的差距。整改方案设计整改方案设计工作内容是根据信息系统差距分析结果，结合业务系统的使命、目标和行业要求，按照信息系统的不同安全等级，设计合理的技术措施和管理措施，构建结构化的信息安全保障体系。安全优化与调整安全优化与调整是根据信息系统差距分析结果，对信息系统所依赖的服务器操作系统、数据库、网络及安全设备进行配置安全加固，安装和实施各项新增安全设备，保障信息系统的安全稳定性。等级保护管理制度建设等级保护管理制度建设是根据信息安全等级保护安全管理的要求，编写符22合等级保护要求的信息安全管理规范和制度，通过安全管理的加强来规避管理风险。23差距分析根据国家等级保护政策法规和标准规范，确定安全保护等级的信息系统应该具有相应级别的安全防护能力，其中主要是根据 GBT22239-2008信息安全技术_信息系统安全等级保护基本要求来分析某部委各信息系统目前的安全防护能力与基本要求中相应级别之间的差距。工作目的根据国家等级保护要求，对于确定了安全保护等级的信息系统规定了基本的安全保护要求，规定了应该具有的防护措施，以确保信息系统具有相当水平的安全防护能力。差距分析就是根据 GBT22239-2008信息安全技术_信息系统安全等级保护基本要求，结合某部委的业务情况和行业要求，从安全技术和安全管理两个方面，全面分析信息系统现有防护措施和能力与相应等级基本要求之间存在的差距，用以为等级保护建设提供客观依据并指导信息系统等级保护体系设计。工作方式某部委的业务系统差距分析工作主要通过以下方式进行。 访谈访谈是指评估人员与某部委的有关人员就差距分析所关注的问题进行有针24对性的询问和交流的过程，该过程可以帮助评估者了解现状、澄清疑问或获得证据。访谈深度（即访谈内容的详细程度）以及访谈的广度（即对被评估组织中员工角色类型以及每种类型中人数的覆盖程度）由评估人员依据不同的评估需要进行选择和判断。 检查检查是指对评估对象（如规范、机制或行为）进行观察、调查、评审、分析或核查的过程。与访谈类似，该过程可以帮助评估者了解现状、澄清疑问或获得证据。比较典型的检查行为包括：对安全配置的核查、对安全策略的分析和评审等。 测试测试是指在特定环境中运行一个或多个评估对象（限于机制或行为）并将实际结果与预期结果进行比较的过程。测试的目标是判定对象是否符合预定的一组规格。测试过程可以帮助评估者获得证据。 调查表根据某部委业务情况和系统现状，制定详细的调查表，并由某部委相关人员进行填写，以获得业务系统基础数据。具体包括应用信息系统调查表、物理资产调查表、软件资产调查表、各相关设备资产调查表。3325工作内容按照等级保护实施要求，不同安全等级的信息系统应该具备相应等级的安全防护能力，部署相应的安全设备，制定相应的安全管理机构、制度、岗位等。差距分析就是依据等级保护技术标准和管理规范，比较分析信息系统安全防护能力与等级要求之间的差距，为等级化体系设计提供依据。差距分析将对每个定级对象按照其确定的安全保护等级，从以下方面进行评估分析。序号 测评类 测评项1 物理安全2 网络安全3 主机安全4 应用安全5技术要求数据安全6 安全管理制度7 安全管理机构8 人员安全管理9 系统建设管理10管理要求系统运维管理26在这一阶段，针对每个信息系统所定的安全等级，国都兴业对信息系统进行相应级别要求的差距分析工作，按照信息系统测评的要求，进行信息系统等级差距分析，对每个信息系统安全等级要求项进行判定，判定是否符合要求。在进行符合性判定时，依据现场调查和测试所获得的基本信息进行判断。在评估中，国都兴业将从物理安全、主机安全、网络安全、应用安全、数据安全、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理 10 个方面进行等级保护差距分析。物理安全分析内容物理环境安全调查主要是针对信息系统所处的物理环境即机房、线路、客户端的支撑设施等进行符合性识别，为后续物理环境安全符合性分析提供参考数据。分析工具物理环境符合性检查主要是检查机房、线路、客户端的支撑设施，列表如下：序号 保护措施1 门禁系统2 报警系统273 监控系统4 防雷击接地5 防静电6 UPS7 消防系统8 防电磁泄露9 弱电系统、防尘、温湿控制和机房容灾备份 分析结果物理安全调查表主机安全分析内容主机安全主要从以下 9 个方面调查测试被评估信息系统的服务器操作系统、数据库安全等级符合性：身份鉴别、自主访问控制、强制访问控制、安全审计、系统保护、剩余信息保护、入侵防护、恶意代码防护、资源控制。为后续主机安全等级保护差距分析及主机安全防护设计提供参考数据。28分析工具问卷调查(部分)测试类别 等级测评（三级）测试对象 Windows 主机系统测试类 主机系统安全测试项 身份鉴别测试要求：操作系统用户的身份标识应具有唯一性；