数据中心信息安全策略v1.0

数据中心信息安全策略 制 订 人： 审 核 人： 总 经 理： 制定日期：2010年1月 15日 陕西中爆数据中心信息安全策略 陕西中爆数据中心机房于二零零九年五月份建成并投入使用，业务系统主要运行陕西省安全生产管理信息系统。陕西省安全生产管理信息系统是我省安全生产“十一五”规划中的重点项目，属于国家“金安”工程西北五省支撑中心。一、 总体目标陕西中爆数据中心信息安全策略的总体目标是全力保证应用系统即“陕西省安全生产管理信息系统”及陕西省安全生产监督管理局网站的全天24小时的正常运行，各个地市安监局和相关企业能正常访问。二、 信息安全策略陕西中爆数据中心信息安全策略的总体安全策略是从管理层面和技术层面齐抓共管了；管理层面不断完善和修改安全管理制度、人员安全管理、系统建设管理、系统运维管理；技术层面重视物理安全、网络安全、设备和主机安全、操作系统安全、应用安全、网站安全、数据安全以及应急响应和灾难恢复。根据具体情况划分为服务器区、中立区、广域网区、办公区、互联网区等多个安全区域，互联网内部署防火墙，防火墙策略是只开放需要的服务和访问，服务器区前部署网闸来保护服务器，核心交换机前部署入侵检测IDS来监测和预警非法入侵行为，中立区网站前部署WEB应用安全网关来保护网站。从而形成一个分区分域、分级保护的综合立体的安全防范体系。三、 信息安全原则1 . 安全并非某一个产品，它是一个完整的过程。（多种机制，维护和升级）2. 安全强度等同于安全链路中最薄弱的链接。3. 安全的最根本原则是：不要把所有鸡蛋都放在同一个篮子里，即需要有多种安全机制。4. 安全不等于加密，网络信息安全实际上已不仅是一系列技术问题，它是一项系统的社会工程。 绝大多数攻击不是靠破译密码成功的。5. 安全也不等于防火墙，只有防火墙的系统的安全性就相当于为帐篷安装了一扇防盗门，至少还需要有入侵检测系统（防火墙还不能防止内部攻击）。6. 对网络攻击的对策措施： 保护加密、防火墙、口令 监测入侵检测系统 反应自动改变口令、口令错误封锁机制 没有一项保护技术是完美的，监测和反应是最基本的。保护不是必须的，监测和反应是必须的。7. 首先要具有安全意识，其次才能谈到安全技术。8. 网络信息安全首先要从最底层操作系统的安全抓起，其次才能谈到网络、应用程序的安全。但到目前为止还没有绝对安全的操作系统，实验室内的安全操作系统功能过于简单、灵活性和易用性不好。9. 复杂性是安全的最大敌人，内部人员对网络危害最大。10. 在这一行，对知识的更多更新的掌握决定一切。要比入侵者更详细地了解你自己的系统。11. 最小权限原则：给予用户能够将工作完成的最小权限，能够将攻击者对系统造成的危害降低到最低程度。四、 信息安全框架基于互联网的电子政务系统包括面向政府工作人员的政务办公应用和面向公众的公共服务应用。其系统的安全建设，通过构建安全支撑平台、安全政务网络平台、安全政务办公平台、可信公共服务平台和管理制度体系，来保障电子政务信息的保密性、完整性、可用性、真实性和可控性。基于互联网电子政务系统的基