信息系统安全集成第4章案例1v

1、1安全的集成模式案例2摘要通过对信息系统进行评估，为信息系统的网络结构、管理结构和应用系统等方面的安全改造和完善提供依据中国认证中心2保障认证3内容一、需求分析二、安全风险评估三、安全加固四、安全运行监视五、安全评审六、安全提升中国认证中心3保障认证需求分析中国认证中心4保障认证符合性要求安全集成目标信息系统的现状系统中国认证中心5保障认证系统现状图 系统组网中国认证中心6保障认证数据 重要数据包括如下两类： EMSE账号及 话单数据：信息（用于号码、网关接入认证）；时间、接受时间等 对于运营商而言， 障这两类数据的 的可用性、稳定性系统的安全的集成最主要的就是保性、完整性及可用性，以及业务应

2、用中国认证中心7保障认证载体 网络载体 传输载体 数据与处理载体中国认证中心8保障认证安全符合性要求 国内外符合性要求 运营商符合性要求中国认证中心9保障认证国内外符合性要求 SOX要求 等级保护要求 GB/T20274-2006 信息系统安全保障评估框架 GB/T20984-2007 GB/T18336-2001 风险评估规范安全性评估准则 GB/T22081-2008/ISO/IEC27001:2005系管理体 GB/T20261-2006/ISO/IEC21827:2002系统安全工程能力成熟度模型中国认证中心10保障认证运营商 ××通用符合性要求配置规范 ×

3、;×安全域划分和边界整合技术要求 ××管理办法中国认证中心11保障认证安全风险评估安全管理评估安全管理覆盖范围和安全管理质量安全技术评估评估系统在业务、数据、载体、环境与边界防护等方面存在的安全问题中国认证中心12保障认证运营商安全评估方法及要求 网络拓扑安全评估域划分 网络设备安全评估评估 主机操作系统安全评估 数据安全评估中国认证中心13保障认证安全管理评估 对安全管理的评估，实施采用了察看文档、访谈、现场察看等多种方式，结合被评估方提交的材料，评估系统在管理措施方面是否计划采用或已经采用了恰当的安全中国认证中心14保障认证安全技术评估通过对各种符合性要求进行

4、解读和分析后，明确 项目了系统的安全技术符合性要求：主要涉及应用安全、环境与边界安全、数据安全、载体安全（重点服务器）4个方面中国认证中心15保障认证安全技术评估方式系统安全体系架构分析安全配置检查业务应用系统安全功能评估内部安全脆弱性检测渗透测试中国认证中心16保障认证安全技术评估方法 在进行安全技术评估时，采用安全分析、手工检查、自动化工具检测、访谈等工作方式，主要是结合被评估方提交的申请材料，评估信息系统在安全体系架构设计、安全功能设计和实现、安全配置和使用等方面的正确性和 有效性中国认证中心17保障认证安全加固中国认证中心18保障认证措施实施 安全管理措施实施 安全技术措施实施措施计划

5、 措施比对分析 确立措施实施的具体内容 拟定详细的措施计划措施盘点 安全管理措施盘点 安全技术措施盘点安全技术评估应用安全评估环境与边界防护评估数据安全评估内部安全脆弱性检测载体安全评估风险分析中国认证中心19保障认证安全运行监视 安全运行监视，简单来说，即安全验证。参照安全的集成模型，该阶段主要需要验证措施实施完成后，信息系统是否满足或达到了安全符合性要求，并提取监视数据为安全评审提供数据支撑中国认证中心20保障认证安全运行监视监视内容监视方式监度安全管理符合性监视应用安全符合性监视 边界防护安全符合性监视载体安全符合性监视人工工具1次/1周中国认证中心21保障认证安全评审评审组织评审方法评审结果运营商技术技术骨干评审数据来源评审流程评审方法策略配置载体安全漏洞被评估及集成方负责人中国认证中心22保障认证安全提升原则 制定有效、合理的安全改进方案，实现安全提升 符合性原则 安全改进后，需有效确保信息系统应用、数据、载体、边界等各方面满足或达到安全符合性要