银行计算机安全体系解决方案.doc

文档编号：文档编号： 银行计算机安全体系解决方案银行计算机安全体系解决方案 Ver 1.0.0.0 目录目录 1项目的目的和意义项目的目的和意义.6 1.1项目的必要性及意义.6 1.2国内外的现状及趋势.7 1.2.1安全管理类.8 1.2.2安全模型类.9 1.2.3项目成果的应用前景.11 2项目目标项目目标.12 2.1目标.12 2.1.1项目总体目标.12 2.1.2项目的步骤和阶段目标.14 2.1.2.1农行计算机安全体系的准备.15 2.1.2.2农行计算机安全现状调查和风险评估.16 2.1.2.3农行计算机安全体系策略文件的编写.17 2.1.2.4农行计算机安全体系实施方案的设计.18 2.2主要指标.20 3设计思路与技术路线设计思路与技术路线.21 3.1设计思路.21 3.2技术路线.22 3.2.1研究设计技术路线的选定.22 3.2.2研究设计技术解决方案.23 3.2.3解决关键技术的途径.23 3.2.3.1保护对象框架的建立.24 3.2.3.2安全控制的选择和设计.24 3.3工程化.24 4项目内容项目内容.25 4.1总则.25 4.1.1总体理念.25 4.1.1.1安全体系.25 4.1.1.2安全框架模型.26 4.1.1.3保护对象框架.30 4.1.1.4安全等级指标体系.35 4.1.2项目总体流程综述.37 4.1.2.1安全保护对象框架.39 4.1.2.2风险评估.41 4.1.2.3安全需求.42 4.1.2.4安全方针.43 4.1.2.5安全保护需求框架.44 4.1.2.6安全对策.46 4.1.2.7安全对策框架.47 4.1.2.8安全体系设计.49 4.1.2.9安全策略设计.50 4.1.2.10安全解决方案.52 4.2风险评估.53 4.2.1实施过程中双方分工.53 4.2.2XXXX安全风险评估方法论.54 4.2.2.1概述.54 4.2.2.2资产评估.60 4.2.2.3威胁评估.72 4.2.2.4弱点评估.81 4.2.2.5风险评估.83 4.2.3风险评估方案.85 4.2.3.1设备安全评估方法.85 4.2.3.2策略文档评估方法.92 4.2.3.3网络架构、业务流程评估方法概述.98 4.2.4风险评估过程描述.102 4.2.4.1信息资产的识别.103 4.2.4.2安全威胁的评估.104 4.2.4.3安全弱点的评估.105 4.2.4.4现有安全措施评估.112 4.2.4.5综合风险分析.113 4.2.5风险评估过程的双方分工.114 4.3安全策略制定.114 4.3.1安全策略概述.114 4.3.2信息安全策略框架设计.115 4.3.2.1农行策略结构描述.115 4.3.3可能需要制定的策略文档清单.118 4.3.4信息安全策略服务流程描述.119 4.3.4.1信息安全方针制定.120 4.3.4.2安全组织管理体系和职责设计.121 4.3.4.3信息安全标准文档制定.122 4.3.4.4信息安全操作流程系列文档制定.123 4.3.4.5信息安全制度和管理办法系列文档制定.124 4.3.4.6信息安全用户协议系列文档制定.125 4.4设计解决方案.126 4.4.1安全需求分析.127 4.4.2安全解决方案设计.128 4.4.3安全规划.129 4.4.4体系的推广.130 4.4.5维持体系运行.130 4.4.6内部审核.131 5项目实施的组织、管理项目实施的组织、管理.132 5.1项目的组织.132 5.1.1XXXX项目组规划.132 5.1.2项目角色和责任.132 5.1.2.1项目经理.132 5.1.2.2首席顾问.133 5.1.2.3高级安全顾问.133 5.1.2.4安全顾问.133 5.1.2.5QA 质量保证师.134 5.1.2.6客户经理.134 5.1.2.7金融顾问.134 5.1.2.8大型主机顾问.134 5.2项目的管理.135 5.2.1概述.135 5.2.1.1XXXX 工程项目管理方法.135 5.2.1.2XXXX 项目管理遵循的标准.136 5.2.2项目沟通.136 5.2.2.1日常沟通、记录和备忘录.136 5.2.2.2报告.136 5.2.2.3会议.137 5.2.3项目相关培训.140 5.2.3.1评估前培训.140 5.2.3.2评估后培训.140 5.2.4项目实施质量保证.141 5.2.4.1概述.141 5.2.4.2项目执行人员的质量职责.141 5.2.4.3XXXX 安全服务质量保证体系严格贯彻以下过程.142 5.2.5项目验收方式.144 5.2.5.1验收方法确认.145 5.2.5.2验收程序.146 5.2.5.3版本控制.148 5.2.5.4交付件归档办法.149 6承担能力说明承担能力说明.149 6.1单位基本情况.149 6.1.1XXXX控股有限公司基本情况.149 6.1.2近两年的财务状况（单位：万元）.150 6.1.3单位负责人基本情况.151 6.1.4承担同类研究设计项目及完成情况.151 6.2承担能力说明.152 6.2.1与投标项目相关的技术资源、业务背景等情况.152 6.2.2项目负责人及组成人员情况.153 6.2.2.1项目经理基本情况.153 6.2.2.2技术负责人基本情况.155 6.2.2.3项目人员情况.157 6.2.3XXXX信息安全业务关键能力.157 6.2.3.1具备长期履行承诺的能力.157 6.2.3.2具备持续发展信息安全技术的能力.157 6.2.3.3具备帮助客户规避安全风险的能力.157 6.2.3.4提供实时响应的专家服务模式.157 6.2.3.5具备覆盖全国的售后服务体系.158 6.2.3.6完善的服务质量管理能力.158 6.2.4XXXX安全项目成功案例介绍.158 6.2.4.1国税总局安全咨询项目.158 7项目进度安排项目进度安排.159 8项目经费预算及安排项目经费预算及安排.161 9风险分析及规避措施风险分析及规避措施.162 9.1系统备份与恢复措施.162 9.2扫描风险应对措施.162 9.3风险评估阶段项目一致性的管理及规避措施.163 10成果列表成果列表.163 10.1评估阶段交付件.163 10.1.1评估阶段总行交付件.163 10.1.2评估阶段各分行交付件.164 10.2策略阶段交付件.164 10.3方案阶段交付件.165 11涉及安全保密、技术秘密的保护承诺涉及安全保密、技术秘密的保护承诺.166 12附件附件.166 12.1项目负责人简历表.166 12.2计划从事本项目的主要人员情况表.169 12.3与本项目相关的技术资源优势.174 12.4XXXX 提供的证明材料.174 1 项目的目的和意义项目的目的和意义 1.11.1 项目的必要性及意义项目的必要性及意义 中国农业银行是四大国有独资商业银行之一，是中国金融体系的重要组 成部分。在国内，中国农业银行网点遍布城乡，资金实力雄厚，服务功能齐 全，不仅为广大的百姓和客户所信赖，而且与他们一道取得了长足的共同进 步,已成为中国最大的银行之一。在海外，农业银行同样通过自己的努力赢得 了良好的信誉，被财富评为世界 500 强企业之一。其信息化建设发展迅 速，全行计算机网点达 4.5 万多个，联机网点达 3.5 万余个，各项业务计算 机处理覆盖率达 93，金额达 98。 随着农行金融信息化的发展，信息系统已经成为银行赖以生存和发展的 基本条件。相应地，银行信息系统的安全问题也越来越突出，银行信息系统 的安全问题主要包括两个方面：一是来自外界对银行系统的非法侵入，对信 息系统的蓄意破坏和盗窃、篡改信息行为；二是来自银行内部员工故意或无 意的对信息系统管理的违反。银行信息系统正在面临着严峻的挑战。 银行进行安全建设、加强安全管理已经成为当务之急，其必要性正在随 着银行业务和信息系统如下的发展趋势而更加凸出： 银行的关键业务系统层次丰富，操作环节多，风险也相对比较明显； 随着电子银行和中间业务的广泛开展，银行的网络与 Internet 和其 他组织机构的网络互联程度越来越高，使原本相对封闭的网络越来 越开放，从而将外部网络的风险引入到银行内部网络； 随着银行业务集中化的趋势，银行业务系统对可靠性和无间断运行 的要求也越来越高； 随着 WTO 的到来和外资银行的进入，银行业竞争日益激烈，新的金 融产品不断推出，从而使银行的应用系统处于快速的变化过程中， 对银行的安全管理提出了更高的要求。 中国国内各家银行也已经开始进行信息安体系建设，其中最主要的措施 就是采购了大量安全产品，包括防火墙、入侵检测系统、防病毒和身份认证 系统等。这些安全产品在很大程度上提高了银行信息系统的安全水平，对保 护银行信息安全起到了一定作用。但是它们并没有从根本上降低安全风险， 缓解安全问题，这主要是因为： 信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒 感染理解为信息安全问题的全部是片面的。安全产品的功能相对比 较狭窄，往往用于解决一类安全问题，因此仅仅通过部署安全产品 很难完全覆盖银行信息安全问题； 信息安全问题不是静态的，它总是随着银行策略、组织架构、信息 系统和操作流程的改变而改变。部署安全产品是一种静态的解决办 法。一般来说，在产品安装和配置后较长一段时间内，它们都无法 动态调整以适应安全问题的变化。 所以，银行界的有识之士都意识到应从根本上改变应对信息安全问题的 思路，建立更加全面的安全保障体系，在安全产品的辅助下，通过管理手段 体系化地保障信息系统安全。 1.21.2 国内外的现状及趋势国内外的现状及趋势 目前，国际上权威的评估标准是美国国防部发布的“可信计算机系统评 估准则 TCSEC”彩虹系列标准和欧洲、美国等国家制订的 ITSEC 准则、CC 标准和最近国际标准化组织提出的 ISO/IEC 15408 信息技术安全评估准则。 许多国家都将信息安全定位在国家战略级别。相关标准和文档包括： 美国国家安全战略 美国的保护网络空间的国家战略 美国银行于金融关键基础设施保护战略 俄罗斯联邦信息安全学说 欧洲信息与网络安全政策 BS7799/ISO17799 ISO15408/CC IATF 这些标准大致可以分为两种类型。 1.2.1 安全管理类安全管理类 安全管理类型的标准主要是通过制订制度和规章来降低安全风险， BS7799 是典型的安全管理类标准。 1990 年，世界经济合作开发组织(OECD)下辖的信息、计算机与通信政策 组织开始起草 “信息系统安全指导方针” 。1992 年，OECD 于 11 月 26 日正式 通过“信息系统安全指导方针” 。1993 年，英国工业与贸易部(DTI)颁布“信 息安全管理事务准则” 。1995 年，英国制定国家标准 BS 7799 第一部分：“信 息安全管理事务准则” ，并提交国际标准组织(ISO)，成为 ISO DIS 14980。1996 年，BS 7799 第一部分提交 ISO 审议的结果，于 1996 年 2 月 24 日结束 6 个月的审议后，参与投票的成员国未超过三分之二。1997 年，OECD 于 3 月 27 日公布密码模块指导原则；同年，英国正式开始推动信息安全管理 认证先导计划。1998 年，英国公布 BS 7799 第二部分“信息安全管理规范” 并成为信息安全管理认证的依据；同年，欧盟于 1995 年 10 月公布之“个人 资料保护指令，自 1998 年 10 月 25 日起正式生效，要求以适当标准保护个人 资料” 。1999 年，修订后的 BS 7799:1999 版再度提交 ISO 审议。2000 年，国 际标准组织 ISO/IEC JTC SC 27 在日本东京 10 月 21 日通过 BS 7799-1，成 为 ISO DIS 17799-1，2000 年 12 月 1 日正式发布。现已有 30 多家机构通过 了信息安全管理体系认证，范围包括：政府机构、银行、保险公司、电信企 业、网络公司及许多跨国公司。目前除英国之外，国际上已有荷兰、丹麦、 挪威、瑞典、芬兰、澳大利亚、新西兰、南非、巴西已同意使用 BS 7799；日 本、瑞士、卢森堡表示对 BS 7799 感兴趣；我国的台湾、香港地区也在推广 该标准。值得一提的是：该标准也是目前英国最畅销的标准。 BS 7799 完全从管理角度制定，并不涉及具体的安全技术，实施不复杂， 主要是告诉管理者一些安全管理的注意事项和安全制度，例如磁盘文件交换 和处理的安全规定、设备的安全配置管理、工作区进出的控制等一些很容易 理解的问题。这些管理规定一般的单位都可以制定，但要想达到 BS 7799 的 全面性则需要一番努力。BS7799 涵盖了安全管理所应涉及的方方面面，全面 而不失可操作性，提供了一个可持续提高的信息安全管理环境。推广信息安 全管理标准的关键在重视程度和制度落实方面。 应该说该标准中也还存在一些问题。它认为未经批准查看敏感信息是种 威胁，而且是对保密性的违反。但是明确阐述保密性的文件中唯一指明的控 制中却没有这种认识。它的 4.1.3 部分讲到，用户应该签署保密（不泄密） 协定，但却没有说阻止非法用户截取（察看）信息。标准中的另一个问题是 有关网络存取控制的部分没有提到密码技术。标准中简单讨论了密码技术， 但只在有关开发和维护系统应用部分，作为维护高度敏感的数据的一部分。 另外，它混淆了知道信息和占有信息的概念。 总而言之，BS7799 在某些方面可能不全面，但是它仍是目前可以用来达 到一定预防标准的最好的指导标准。 1.2.2 安全模型类安全模型类 安全模型类标准着重建立信息安全技术体系模型，ISO15408/CC 是此类 标准的代表。 ISO/IEC 15408-1999“信息技术 安全技术 信息技术安全性评估准则” （简称 CC） ，是国际标准化组织统一现有多种评估准则的努力结果，是在美国 和欧洲等国分别自行推出并实践测评准则及标准的基础上，通过相互间的总 结和互补发展起来的。主要阶段为： 1985 年，美国国防部公布可信计算机系统评估准则 （TCSEC）即 桔皮书 1989 年，加拿大公布可信计算机产品评估准则 （CTCPEC） 1991 年，欧洲公布信息技术安全评估准则 （ITSEC） 1993 年，美国公布美国信息技术安全联邦准则 （FC） 1996 年，六国七方（英国、加拿大、法国、德国、荷兰、美国国家 安全局和美国标准技术研究所）公布信息技术安全性通用评估准则 （CC 1.0 版） 1998 年，六国七方公布信息技术安全性通用评估准则 （CC 2.0 版） 1999 年 12 月，ISO 接受 CC 2.0 版为 ISO 15408 标准，并正式颁布发 行 从上面发展可以看出，CC 源于 TCSEC，但已经完全改进了 TCSEC。TCSEC 主要是针对操作系统的评估，提出的是安全功能要求，目前仍然可以用于对 操作系统的评估。随着信息技术的发展，CC 全面地考虑了与信息技术安全性 有关的所有因素，以“安全功能要求”和“安全保证要求”的形式提出了这 些因素，这些要求也可以用来构建 TCSEC 的各级要求。 CC 定义了作为评估信息技术产品和系统安全性的基础准则，提出了目前 国际上公认的表述信息技术安全性的结构，即把安全要求分为规范产品和系 统安全行为的功能要求以及解决如何正确有效的实施这些功能的保证要求。 功能和保证要求又以“类子类组件”的结构表述，组件作为安全要 求的最小构件块，可以用于“保护轮廓” 、 “安全目标”和“包”的构建，例 如由保证组件构成典型的包“评估保证级” 。另外，功能组件还是连接 CC 与传统安全机制和服务的桥梁，以及解决 CC 同已有准则如 TCSEC、ITSEC 的 协调关系，如功能组件构成 TCSEC 的各级要求。 同 BS 7799 相比，信息技术安全性评估准则(CC)和美国国防部可信计算 机评估准则(TCSEC)等更侧重于对系统和产品的技术指标的评估；系统安全工 程能力成熟模型(SSE-CMM)更侧重于对安全产品开发、安全系统集成等安全工 程过程的管理。在对信息系统日常安全管理方面，BS 7799 的地位是其他标准 无法取代的。 这两类标准各有利弊。管理类标准，虽然比较容易实施，但比较滞后。 在信息技术飞速发展的今天，不能涵盖最新的技术和应用，需要不断的增加 新的内容来不断完善。安全模型类方案能够为我们建立完整的信息安全保障 体系提供参考，由于其指出是一种理想化的模型，只能在实践中起到指导和 参考作用，不可能直接引用。 我们认为，建立信息安全保障体系不能只参考任何一类的标准，而应该 根据用户的网络现状和用户提出的安全需求，综合使用两类标准，从技术和 管理两个维度来考虑，以安全评估为基础，制订安全策略，提出解决方案， 来满足用户的安全需求。 1.2.3 项目成果的应用前景项目成果的应用前景 我国金融系统的信息安全保障体系的建设已经取得了阶段性的成果，但 其现有的信息安全保障体系是否能充分满足我国金融行业的安全目标还需要 进一步论证。构建我国金融系统信息基础平台设施大量采用了国外的技术和 产品，按照这种方式构筑的信息传输、交换和处理平台存在相当的安全漏洞 和隐患，在这样的平台上发展金融业务存在比较严重的安全问题。现有的信 息安全基础设施和系统安全解决方案大多是通过传统方式如防火墙、入侵检 测、漏洞扫描、网络隔离等技术和设备来保障系统的安全。虽然在一定程度 上可以满足日常工作和安全保障要求，但各类安全设备都构建于国外的硬件 平台和操作系统之上，摆脱不了受限、受制、受控于人的被动局面，这对于 我国金融业务信息化的正常发展是非常不利的。究其原因是没有形成针对金 融行业的信息安全保障体系架构。 XXXX 根据本次招标的要求，设计了包括安全评估、安全策略以及解决方 案三个主要部分的中国农业银行计算机安全体系解决方案 。本方案通过对 农行计算机安全问题的研究，参照国际国内安全标准，提