经典等级保护方案介绍.pptx

信息系统安全等级保护方案 介、介绍案解决,安全解决方案业务部,信息安全 及应用交付,等级保护,安全运维,信息安全方案与集成 安全整体咨询、服务 安全产品全线分销 安全平台应用交付,等级保护定级备案 等级保护差距分析 等级保护整改设计 等级保护整改实施 等级保护测评咨询,安全运维平台 安全运维队伍 安全运维流程 安全运维制度 安全运维报告 安全运维交付,系统科技-安全管理本部,云计算安全,云IT服务平台 云计算安全管理 云计算环境管理 云计算虚拟交付,1、业务概况：安全及系统管理本部作为系统科技战略本部的核心业务单位，承载着神州数码在信息安全和应用交付领域业务发展的重要战略职责。专注于IT应用时代的安全管理和系统管理。,公司概况,2、专业的服务能力： 60名高级工程师，包括CISP安全工程师、CCIE网络专家、F5认证安全工程师、BlueCoat认证安全工程师、RSA认证工程师、CheckPoint认证安全工程师以及来自厂商的安全资讯专家，提供从产品交付到解决方案定制，从应用集成到整体咨询的全方位服务。 3、丰富的客户实践：拥有在金融（银行、基金、证券、保险、期货）、运营商（电信、移动、联通、广电、设备商）、政府（党政机关、公检法司、工商财税、国防军工、海关、社保、国土资源）、公共事业（电力、石油石化、医疗、教育、交通、邮政）、高端制造业（汽车、钢铁、冶炼、机械电子、食品、烟草等）、传媒及互联网（广播、电视、纸媒、电子商务）等丰富的成功客户经验。我们在对每一个用户系统深入分析和理解的基础上，凭借出色的行业经验和解决方案能力，成为众多大中型客户的首选安全解决方案提供商。 4、遍布全国的服务网络：直接覆盖全国15个重点一、二级城市，同时通过战略合作伙伴全面覆盖全国20多个三、四级城市。本地化销售和技术团队在深入了解客户需求的基础上，更快更好的为客户提供专业化服务。,公司概况,目 录,目 录,全球网络安全形势严峻，信息安全问题不仅仅是组织自身的事情，也涉及到国家和社会安全。计算机病毒、黑客攻击、信息泄露、软硬件故障等信息安全问题给组织单位造成了极大的风险。 互联网空间正日益成为国际竞争的新焦点,在制定本国信息系统安全等级管理标准之外，美国、英国、德国等欧美发达国家纷纷制定网络安全国家战略，参与争夺全球网络空间主导权。 美国2009年6月，美军成立网络司令部；日本防卫省在2011年度建立一支专门的“网络空间防卫队”；韩国在2009年宣布组建“网络司令部”，2011年韩国国防部提升为独立部队。,全球背景,等级保护背景与必要性,国际信息安全环境日趋复杂，西方加紧对我国的网络遏制，并加快利用网络进行意识形态渗透;另一方面，重要信息系统、工业控制系统的安全风险日益突出，信息安全网络监管的难度和复杂性持续加大。 网络安全成为关系经济平稳运行和安全的重要因素，国民经济对信息网络和系统的依赖性增强，我国重要信息系统和工业控制系统多使用国外的技术和产品，这些技术和产品的漏洞不可控，使网络和系统更易受到攻击，致使敏感信息泄露、系统停运等重大安全事件多发，安全状况堪忧。 信息安全领域存在多头管理现象，相关职能部门涉及多个部委和管理机构，部门之间职责界定不清晰，管理权限存在交叉，决策权分散，各个相关管理机构之间缺乏充分的沟通和协调，部门间作用发挥不均。,国内背景,等级保护背景与必要性,2007年，四部委联合发布的关于开展全国重要信息系统安全等级保护定级工作的通知（公信安2007861号） 2008年，国家发展和改革委员会、中华人民共和国公安部、国家保密局关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（发改高技20082071号） 2009年，四部委联合发布关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知，要求2010年底前完成测评体系建设，完成30%第三级（含）以上信息系统的测评工作，2012年底之前完成第三级（含）以上信息系统的安全建设整改工作。,等级保护背景与必要性,等保发展状况,等级保护背景与必要性,2003年9月 中办国办颁发 关于加强信息安全保障工作的意见 中办发200327号,2005年9月 国信办文件 关于转发电子政务信息安全等级保护实施指南的通知 国信办200425号,2007年，公安部、保密局、密码管理局、国信办联合制定了信息安全等级保护管理办法，标志着我国等级保护制度的初步形成,2005年 公安部标准 基本要求 定级指南 实施指南 测评准则,2004年11月 四部委会签 关于信息安全等级保护工作的实施意见 公通字200466号,云南 云南省人民政府第130号令,浙江 浙江省人民政府令,北京 北京政府第9号令,国家级政策文件,国家级技术标准,国家级政策文件,地方政策文件,国家政策、标准,应用类,产品类,其他类,等保安全 建设整改,基础类 计算机信息系统安全保护等级划分准则,信息系统定级：定级指南GB/T22240-2008 等级保护实施：实施指南信安字200710号 信息系统安全建设：基本要求GB/T22239-2008 通用安全技术要求GB/T20271-2006 安全技术设计要求GB/T24856-2009 等10个要求和规范 等级测评：测评要求报批稿/测评过程要求报批稿 / GA/T713-2007,风险评估：信息安全风险评估规范GB/T20984-2007 事件管理：信息安全事件管理指南GB/Z20985-2007 信息安全事件分类分级指南 GB/Z20986-2007 信息系统灾难恢复规范GB/T20988-2007,操作系统 数据库 网络 PKI 网关 服务器 入侵检测 防火墙 路由器 交换机 其他产品,技术要求 评估准则 测试方法 配置指南,等级保护背景与必要性,国家政策、标准,国家电网公司2011年完成10多个网省的等级保护整改任务,省市/行业进展,教育部办公厅关于开展信息系统安全等级保护工作的通知（教办厅函【2009】80号）,2007年，发布税务信息系统安全等级保护定级工作指南2010年8月25日，国家税总在上海组织召开了税务系统信息安全等级保护 上海试点测评阶段总结会。,2010年6月，民政部启动民政部信息系统等级保护整体规划建设方案,2011年6月，国家广电总局科技司印发了关于开展广播电视相关信息系统安全等级保护定级工作的通知出台广播电视相关信息系统安全等级保护定级指南和广播电视相关信息系统安全等级保护基本要求行业标准,证监会,教育部,民政部,税总,广电总局,等级保护,卫生部,甘肃,广西,安徽,国家电网,等级保护背景与必要性,2011年8月，教育部办公厅关于进一步加强网络信息系统安全保障工作的通知教办厅函201183号要求各地教育行政部门和学校要将本单位的信息系统定级结果报主管部门审批。在2011年12月底前，完成所有信息系统的定级备案。各地教育行政部门和学校的第二级及以上信息系统，要参照国家和教育行业有关标准规范，在定级备案后2年内完成首次安全建设整改和等级测评工作。已定级的第三级及以上信息系统要安全整改方案由教育部组织专家审定，在2012年底前完成首次安全建设整改和等级测评工作。 2010年4月教育部教育管理信息中心成立“信息安全测评部”，负责信息安全等级保护测评工作。 2009年11月，教育部办公厅印发关于开展信息系统安全等级保护工作的通知（教办厅函200980号），决定在教育系统全面开展信息安全等级保护工作，并由教育部教育管理信息中心具体组织实施。,教育部,等级保护背景与必要性,2011年11月，卫生部印发了卫生行业信息安全等级保护工作的指导意见通知，通知明确提出卫生行业信息安全等级保护工作的指导意见，包括工作目标、工作原则、工作机制、工作任务、工作要求等，有力促进卫生行业信息安全等级保护工作的开展。 行业指导，属地管理：地方各级卫生行政部门承担本地卫生信息安全责任，信息化工作领导小组统筹组织本地卫生信息安全等级保护工作。卫生部信息化工作领导小组负责对全国卫生行业信息安全等级保护工作的组织协调、监督指导，并组织开展部机关信息安全等级保护工作定级，备案，建设，整改，定级评测，宣传，培训，监督检查。,卫生部,等级保护背景与必要性,甘肃省四部门印发信息安全等级保护安全建设整改工作的实施意见 （2010-09-03） 广西举办信息安全等级保护技术高级研修班 （2010-09-03） 安徽省四部门下发重要信息系统等级保护安全建设工作方案 （2010-09-03）,甘肃、广西、安徽,等级保护背景与必要性,一级损害,二级损害,三级损害,四级损害,信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。,信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。,信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。,信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。,五级损害,信息系统受到破坏后，会对国家安全造成特别严重损害。,等级保护背景与必要性,损害等级,威胁,等级保护背景与必要性,信息安全面临的威胁因素,信息安全面临的威胁,威胁,等级保护背景与必要性,威胁,等级保护背景与必要性,信息安全面临的威胁,目 录,等保实施过程,系统定级,安全规划设计,安全实施,安全运行,定期检查,局部调整,重大变更,等级保护安全等级划分,一级：自主保护,二级：指导保护,三级：监督保护,四级：强制保护,第一级：用户自主保护级,第二级：系统审计保护级,第三级：安全标记保护级,第四级：结构化保护级,五级：专控保护,第五级：访问验证保护级,信息安全等级保护划分准则GB17859-1999-规定了计算机信息系统安全保护能力的五个级别,信息安全等级保护管理办法规定的五级要求,等级保护安全等级划分,一级,二级,三级,四级,信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。,信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。,信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。,信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。,五级,信息系统受到破坏后，会对国家安全造成特别严重损害。,等级保护安全等级划分,信息安全等级保护管理办法规定的五级要求,定级流程,等级保护安全等级划分,等级保护安全等级划分,定级方法,等级保护对象：信息安全等级保护工作直接作用的具体的信息和信息系统。作为定级对象的信息系统应具有如下基本特征： 1、具有唯一确定的安全责任单位 2、具有信息系统的基本要素 3、承载相对独立的业务应用 客体：受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益。 系统服务 ：信息系统为支撑其所承载业务而提供的程序化过程。 侵害程度综合判定： 1、系统服务安全被破坏导致业务能力下降的程度可以从信息系统服务覆盖的区域范围、用户人数或业务量等不同方面确定。 2、业务信息安全被破坏导致的财物损失可以从直接的资金损失大小、间接的信息恢复费用等方面进行确定。,定级关键词,等级保护安全等级划分,定级建议参考,一级信息系统：公民个人的单机系统，小型集体、民营企业 所属的信息系统，中、小学校的信息系统，乡镇级党政机关、事业单位的信息系统，其他小型组织的信息系统。 二级信息系统：县级、地市级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财务、财政、金融、社保、工商、审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、 应急抢险、农业等行业所属独立的信息系统，中型集体、民营企业、小型国有企业所属的信息系统，县级党政机关、事业单位的信息系统，普通高等院校和科研机构的信息系统，其他中型组织的信息系统。 三级信息系统：省级和副省级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财政、金融、社保、工商、审计、能源、化工、社会服 金融、社保、工商、审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、应急抢险、农业等行业所属独立的重要信息系统，大型集体、民营企业、大中型国有企业所属的重要信息系统，地市级党政机关、事业单位的重要信息系统，重点高等院校和科研机构的重要信息系统，其他大中型组织的信息系统。,等级保护安全等级划分,定级建议参考,四级信息系统：国家级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险、公安、财政、金融、社保、工商、审计、能源、化工、社会服务保障、卫生、交通运输、国土资源、邮政、应急抢险等行业所属全程全网的特大型信息系统，特大型国有企业 所属全程全网的特大型信息系统，省级党政机关、事业单位所属的重要信息系统，重点科研机构的重要信息系统。 五级信息系统：国家级电信、广电、银行、铁道、海关、税务、民航、证券、电力、保险等重要信息系统中的核心子系统，涉及国防、重大外交、航天航空、核能源、 尖端科学技术等重要信息系统中的核心子系统，国家级党政机关重要信息系统中的核心子系统。 定级原则：从国家管理的需要出发，从信息系统对国家安全、经济建设、公共利益等方面的重要性，以及信息或信息系统被破坏后造成危害的严重性角度确定的信息系统应达到的安全等级。,等级保护安全等级划分,定级建议参考,税务系统等级定义参考,等级保护安全等级划分,税务系统各单位定级工作参照以下定级原则： （1）税务总局负责设计、开发、推广、运行维护，全国范围使用，为纳税人提供网上办税业务的信息系统确定安全保护等级为三级，核心数据库系统可定为四级(全国使用的，税务总局集中的) ，其他信息系统可定为二级； （2）省国税局和省地税局负责设计、开发、推广、运行维护，全省范围使用，为纳税人提供网上办税业务的信息系统安全保护等级最高定为三级，其他信息系统可定为二级； （3）市国税局和市地税局的信息系统安全保护等级定为二级； （4）税务总局机关内部使用的信息系统安全保护等级原则定为二级； （5）省国税局和省地税局机关内部使用的信息系统安全保护等级最高定为二级。,定级建议参考,卫生系统等级定义参考,等级保护安全等级划分,卫生行业信息安全等级保护工作的指导意见规定以下重要卫生信息系统安全保护等级原则上不低于第三级： （1）卫生统计网络直报系统、传染性疾病报告系统、卫生监督信息报告系统、突发公共卫生事件应急指挥信息系统等跨省全国联网运行的信息系统； （2）国家、省、地市三级卫生信息平台，新农合、卫生监督、妇幼保健等国家级数据中心； （3）三级甲等医院的核心业务信息系统； （4）卫生部网站系统； （5）其他经过信息安全技术专家委员会评定为第三级以上（含第三级）的信息系统。,定级建议参考,卫生系统等级定义参考,等级保护安全等级划分,目 录,信息安全等级保护是指：对国家秘密信息、法人和其他组织及公民的专有信息、公开信息分类分级进行管理和保护； 对信息系统按业务安全应用域和区实行分级保护。 对系统中使用的信息安全产品实行按分级许可管理。 对等级系统的安全服务资质分级许可管理。 对信息系统中发生的信息安全事件分等级响应、处置。,等级保护的建设模型,等保制度内容,等级保护框架内容,等级保护的建设模型,等级保护要求模型,基本要求的描述模型,等级保护的建设模型,-PDCA模型： 持续改进的优秀方法 能使任何一项活动按照 工作程序有效进行 策划 实施 检查 处置 周而复始，不断循环,PDCA模型,P,D,C,A,等级保护的建设模型,PDCA模型,信息安全等级保护工作最明显的就是采用了过程方法和PDCA模型思想 -系统规划设计（P） -建设实施（D） -测评检查（C） -问题整改（A） 基于过程的概念，不同过程之间相互关联，过程包含子过程,等级保护的建设模型,目 录,信息系统安全技术建设整改工作流程,等级保护整改方案设计,之概要,信息系统安全建设整改主要内容,等级保护整改方案设计,-信息安全等级保护安全建设整改工作指南,之概要,等级保护整改方案设计,整改依据标准间的关系（一）,-信息安全等级保护安全建设整改工作指南,之依据标准,等级保护整改方案设计,整改依据标准间的关系（二）,-信息安全等级保护安全建设整改工作指南,之依据标准,信息系统主要是由实现计算任务的局域计算环境，实现数据传输的网络系统，以及用户/用户群组成。 安全的信息系统由以下部分组成： 安全的局域计算环境； 局域计算环境的边界防护； 安全用户环境（独立用户/用户群及）其边界防护； 安全的网络系统； 信息系统安全管理中心。,分析等级保护信息系统组成,等级保护整改方案设计,之总体设计,信息安全技术信息系统安全等级保护基本模型 GA/T 7092007,三级安全信息系统的组成与相互关系,如果信息系统仅由一个局域计算环境组成，则不涉及网络系统的安全问题。,0 到n 个具有一级安全的局域计算环境及其边界防护设施； 0 到n 个具有二级安全的局域计算环境及其边界防护设施； 1 到n 个具有三级安全的局域计算环境及其边界防护设施； 0 到n 个具有一级安全的独立用户或用户群及其边界防护设施； 0 到n 个具有二级安全的独立用户或用户群及其边界防护设施； 1 到n 个具有三级安全的独立用户或用户群及其边界防护设施； 具有一级安全的网络系统； 具有二级安全的网络系统； 具有三级安全的网络系统； 具有三级安全的信息系统安全管理中心。,信息系统安全等级保护基本模型,等级保护整改方案设计,之总体设计,信息安全技术信息系统安全等级保护基本模型 GA/T 7092007,等级保护体系安全体系框架设计,等级保护整改方案设计,之总体设计,等级保护,身份认证 访问控制 安全域划分 防病毒、恶意代码 入侵检测与保护 网络安全审计 终端安全管理 数据备份与容灾,安全技术体系,安全管理,安全技术,安全机构组织 安全人员职责 人员教育培训 人员安全 安全服务组织 应急响应队伍,安全组织体系,安全策略规划与制订 安全管理制度 技术规范、标准 安全系统工程建设 安全系统建设管理 组织职责,安全策略体系,网络运维监控 网络安全管理 系统及网络加固 资产、介质管理 恶意代码防范管 漏洞扫描、补丁升级 数据备份与恢复 安全事件响应、处置 应急预案发布与管理,安全运维体系,P,D,C,A,等级保护体系安全体系框架审设计,等级保护整改方案设计,之总体设计,信息系统等级保护安全技术设计框架, 信息安全技术信息系统等级保护安全设计技术要求（GB/T24856-2009）,等级保护整改方案设计,之技术设计,安全通信网络,安全计算环境,安全管理中心,安全区域边界,等级保护,1）用户身份鉴别 2）自主访问控制 3）标记和强制访问控制 4）系统安全审计 5）用户数据完整性保护 6）用户数据保密性保护 7）客体安全重用 8）程序可信执行保护,1）区域边界访问控制 2）区域边界包过滤 3）区域边界安全审计 4）区域边界完整性保护,1）系统管理 2）安全管理 3）审计管理,1) 通信网络安全审计 2) 通信网络数据传输完整性保护 3) 通信网络数据传输保密性保护 4) 通信网络可信接入保护,信息系统等级保护三级安全技术设计,等级保护整改方案设计,之技术设计, 信息安全技术信息系统等级保护安全设计技术要求（GB/T24856-2009）,3.区域边界安全,2.通讯网络安全,4. 主机系统安全,5.应用系统安全,6. 备份和恢复安全,1. 物理安全,从安全技术设施和安全技术措施两方面对信息系统所涉及到 的主机房、辅助机房和办公环境等进行物理安全设计。,对信息系统所涉及的区域网络边界进行安全设计涉及所需采 用的安全技术机制或安全技术措施。,对信息系统涉及到的服务器和工作站进行系统安全设计。,对信息系统所涉及的通信网络，包括骨干网络、城域网络和 其他通信网络（租用线路）等进行安全设计。,对信息系统涉及到的应用系统软件（含应用/中间件平台） 进行安全设计。,针对信息系统的业务数据安全和系统服务连续性进行安全设 计。,安全技术方案详细设计,等级保护整改方案设计,-信息安全等级保护安全建设整改工作指南,之技术设计,注意：整改指南设计同 GB/T24856-2009的不同之处， 前者是在参考后者 基础上做出的详细设计。,等级保护整改方案设计,之技术设计,安全域划分：针对系统内部的不同业务区域进行不同等级的保护,安全域划分是进行信息安全等级保护的首要步骤,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,等级保护整改方案设计,之技术设计,1、落实安全管理机构及 安全管理人员，明确角 色与职责，制定安全规划,2、开发安全策略,3、实施风险管理,4、制定业务持续性计 划和灾难恢复计划,5、选择与实施安全措施,8、进行安全审计,9、保证维护支持,7、保证配置、变更 的正确与安全,10、进行监控、检查， 处理安全事件,11、安全意识 安全教育,信息安全管理,等级保护整改方案设计,之管理设计,6、人员安全管理,信息系统安全管理是对一个组织机构中信息系统的生存周期全过程实施符合安全等级责任要求的管理。,安全管理内容,等级保护整改方案设计,之管理设计,信息安全管理原则,a） 基于安全需求 b） 主要领导负责 c) 全员参与 d） 系统方法,i） 分级保护 j） 管理与技术并重 k） 自保护和国家监管结合,e） 持续改进 f） 依法管理 g）分权和授权 H）选用成熟技术,管理建设流程,等级保护整改方案设计,之管理设计,等级保护整改方案设计,之管理设计,管理建设流程,策略与制度文档管理,基本 较完整 体系化 强制保护 专控保护,信息安全管理策略,安全管理规章制度,策略与制度文档的评审和修订 策略与制度文档的保管,安全管理目标与范围 总体安全管理策略 安全管理策略的制定 安全管理策略的发布,安全管理规章制度内容 安全管理规章制度的制定,策略和制度,(第一级 第二级 第三极 第四级 第五级),等级保护整改方案设计,之管理设计,安全管理人员配备 关键岗位人员管理 人员录用管理 人员离岗 人员考核与审查 第三方人员管理,信息安全教育 信息安全专家,建立安全管理机构 信息安全领导小组 信息安全职能部门,设置集中管理机构 集中管理机构职能,机构和人员管理,等级保护整改方案设计,之管理设计,人员管理,教育和培训,安全管理机构,安全机制集中管理机构,(第一级 第二级 第三极 第四级 第五级),主管领导（主管安全）,领导小组组长,信息安全领导小组,业务部门负责人,成员,安全部门负责人,工作组组长,管理部门负责人,成员,部门安全管理员,成员,部门安全管理员,成员,安全办公室负责人,负责人,安全管理员,安全技术员,信息安全工作组,信息安全办公室,等级保护整改方案设计,之管理设计,风险控制),基于风险的决策,风险管理要求和策略,风险分析和评估,基于安全等级标准选择控制措施 基于风险评估选择控制措施 基于风险评估形成防护控制系统,安全确认：残余风险接受、残余风险监视、安全风险再评估 信息系统运行决策： 运行决定、受控运行,风险管理要求：基本风险管理-定期风险评估-规范风险评估-独立审计的风险管-全面风险管理 风险管理策略： 基本的风险管理策略-风险管理的监督机制-风险评估的重新启动,资产识别和分析 威胁识别和分析 脆弱性识别和分析 风险分析和评估要求,风险管理,等级保护整改方案设计,之管理设计,(第一级 第二级 第三极 第四级 第五级),风险评估的管理,评估机构的选择 评估机构保密要求 评估信息的管理 技术测试过程管理,等级保护整改方案设计,之管理设计,环境安全管理,资源管理,环境安全管理要求 机房安全管理要求 办公环境安全管理要求,资产清单管理 资产的分类与标识要求 介质管理 设备管理要求,环境和资源管理,等级保护整改方案设计,之管理设计,(第一级 第二级 第三极 第四级 第五级),运行维护管理),用户管理,运行操作管理,运行和维护管理,等级保护整改方案设计,之管理设计,(第一级 第二级 第三极 第四级 第五级),外包服务管理,安全机制集中控管 安全信息集中管理 安全机制整合要求 安全机制整合的处理方式,身份鉴别机制 访问控制机制 系统安全 网络安全 应用系统安全 病毒防护 密码,外包服务合同 外包服务商 外包服务的运行管理,日常运行安全 运行状况监控 软件硬件维护 外部服务方访问,服务器操作 终端计算机 便携机 网络及安全设备 业务应用 变更控制和重用管理 信息交换管理,用户分类管理 系统用户要求 普通用户要求 机构外部用户要求 临时用户要求,安全机制保障 （管理要求）,安全集中管理,应急处理,备份与恢复,安全事件处理,应急处理和灾难恢复 应急计划 应急计划的实施保障,数据备份和恢复 设备和系统的备份与冗余,安全事件划分 安全事件报告和响应,业务连续性管理,等级保护整改方案设计,之管理设计,(第一级 第二级 第三极 第四级 第五级),审计及监管控制,责任认定,符合法律要求,依从性检查,审计控制 监管控制,审计结果的责任认定 审计及监管者责任的认定,知晓适用的法律 知识产权管理 保护证据记录,检查和改进 安全策略依从性检查 技术依从性检查,监督和检查管理,等级保护整改方案设计,之管理设计,(第一级 第二级 第三极 第四级 第五级),方案论证,将信息系统安全建设整改技术方案与安全管理体系规划共同形成安全建设整改方案。 组织专家对安全建设整改方案进行评审论证，形成评审意见。 第三级（含）以上信息系统安全建设整改方案应报公安机关备案，并组织实施安全建设整改工程。,等级保护整改方案设计,之管理设计,目 录,安全服务平台的构成,一套流程,一套系统,一套队伍,收集安全事件 统一格式 规则制定 关联分析 案例库,统一规范的监控标准 保证服务水平大于个人能力 服务过程的可重复、可审计 确保服务的效果、效率和适用性,7*24小时不间断实时监控 CISSP，ITIL认证人员 专业性的深入分析 全面的知识库,SSP等保安全服务平台,SSP等保安全服务平台,安全服务平台-安全运营中心,推出7*24小时安全服务平台 为客户提供 安全服务平台 建设服务 技术培训服务,安全服务平台实现的功能,信息资产管理 信息资产访问监控管理 脆弱性管理 安全状态监控 异常事件管理 安全预警与响应体系 与国家等级保护政策、BS7799、SOX法案保持一致,业务与应用群组,SSP等保安全服务平台,SSP等保安全服务平台,等保技术要求,等保管理要求,神州数码SSP,人员,系统,流程,安全预警,安管中心,ITIL运维,Support,Support,安全响应,制度执行,安全服务,环境和资产安全管理 设备和介质安全管理 日常运行维护 集中安全管理 事件处置与应急响应 灾难备份 安全监测 其他安全管理,物理安全 通信网络安全 区域边界安全 主机系统安全 应用系统安全 备份和恢复安全,事件分析,安全审计,设备监控,日志分析,可视化管理,信息 综合处理,安全服务平台与等保,SSP部署,总部SSP,分支1 SSP代理,分支2 SSP代理,分支3 SSP代理,将安全设备服务器的状态和日志统一集中到一个SSP上，使管理人员从一台监控端上就能查看、关联、分析不同的状态和日志，有效评估现有安全状态，为管理层信息化投资决策提供适当报告和依据。,SSP 体系结构,SSP等保安全服务平台,安全仪表盘（Dashboard）,从宏观的角度，向管理员展示了全局的安全态势。,事件统计 告警统计 设备状态 攻击呈现 威胁监视 实时报表,SSP等保安全服务平台,设备状态监控,列表实时监视关键状态 异常问题颜色报警,监视内容 处理器 内存 磁盘 网络接口 连接状态,SSP等保安全服务平台,安全信息综合处理,3条事件,风险管理,SSP等保安全服务平台,事件归一化,归一化 引擎,统一格式的事件输出,SSP等保安全服务平台,资产价值,脆弱性,安全事件,关联引擎,绑定 规