等保与安全讲座1027

1、22022-4-294Internet EmailWeb 浏览浏览Intranet 电子商务电子商务 电子政务电子政务电子交易电子交易时间时间7891011121314152122 。网络安全的目的防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合和信息的唯一出入口，能根据企业的安全政策控制出入网络的信息流，且本身具有较强的抗攻击能力，是提供信息安全服务，实现网络和信息安全的基础设施。File ServerClientMail ServerClientClientClientFTP Server防火墙2022-4-29282022-4-2930 1、 10、应用安全技术 11、系统安全

2、技术 12、数据库安全技术 13、安全路由器（具有防火墙的功能，提供某些地址和服务的过滤机制，可以在一定程度上限制访问。还有带信息加密的路由器（成对使用）； 14、物理隔离技术 15、灾难恢复与备份技术安全服务建立相应的标准定位一、定级如何进行定级p定级对象确定p受侵害客体的分析p侵害程度的分析关键技术环节定级依据：GB/T22240-2008信息安全技术信息系统安全等级保护定级指南定级对象的三个条件 国家政权稳固和国防实力 国家统一、民族团结和社会安定 国家对外活动中的政治、经济利益 国家重要的安全保卫工作 国家经济竞争力和科技实力 其他影响国家安全的事项 影响国家机关社会管理和公共服务的工

3、作秩序 影响各种类型的经济活动秩序 影响各行业的科研、生产秩序 影响公众在法律约束和道德规范下的正常生活秩序等 其他影响社会秩序的事项 由法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益。侵害客体影响行使工作职能导致业务能力下降引起法律纠纷导致财产损失造成社会不良影响对其他组织和个人造成损失其他影响 受到破坏后可能产生的危害后果定级要素与等级的关系侵害客体对客体的侵害程度 一般损害 严重损害 特别严重损害 公民、法人和其他组织的合法权益第一级 第二级 第二级 社会秩序、公共利益第二级 第三级 第四级 国家安全第三级 第四级 第五级 业务信息安全保护等级矩阵表系统服务安全

4、保护等级矩阵表系统安全保护等级矩阵表等级确定矩阵二、备案调整等级保护定级怎么处理？信息系统安全保护措施动态调整等级调整因素：。“指导意见”针对定级备案的要求 安全保护现状分析、查找安全隐患以及与国家信息安全等级保护标准之间的差距，确定安全需求。差距分析 制定信息系统安全等级保护建设整改方案。第三级（含）以上的重要卫生信息系统建设整改方案应当经过信息安全技术专家委员会论证。方案设计 完善安全保护设施，建立安全管理制度，落实安全管理措施，形成信息安全技术防护体系和信息安全管理体系，保障卫生信息系统安全。建设实施整改依据：GB信息系统安全等级保护基本要求风险、差距分析风险评估自评估委托评估方案设计规

5、划体系设计策略体系设计管理体系设计技术体系设计运维体系设计物理安全网络安全主机安全应用安全数据安全管理安全级别技术部分控制点要求项一级2033二级3279三级36136四级40148级别管理部分控制点要求项一级2852二级3496三级37154四级37170级别级别整体数量整体数量控制点控制点要求项要求项一级一级4885二级二级66175三级三级73290四级四级77868级别级别技术部分技术部分物理安全网络安全主机安全应用安全数据安全及备份恢复一级一级控制点要求项控制点要求项控制点要求项控制点要求项控制点要求项7939464722二级二级控制点要求项控制点要求项控制点要求项控制点要求项控制点

6、要求项101961861971934三级三级控制点要求项控制点要求项控制点要求项控制点要求项控制点要求项103273373293138四级四级控制点要求项控制点要求项控制点要求项控制点要求项控制点要求项10337329361136311级别级别管理部分管理部分安全管理制度安全管理制度安全管理机构安全管理机构人员安全管理人员安全管理系统建设管理系统建设管理 系统运维管理系统运维管理一级一级控制点要求项控制点要求项控制点要求项控制点要求项控制点要求项234447920918二级二级控制点要求项控制点要求项控制点要求项控制点要求项控制点要求项37595119281241三级三级控制点要求项控制点要求

7、项控制点要求项控制点要求项控制点要求项31152051611451362四级四级控制点要求项控制点要求项控制点要求项控制点要求项控制点要求项31452051811481370安全等级控制点要求项91910321039 物理位置的选择 （2项） 物理访问控制 （4项） 防盗窃和防破坏 （6项） 防雷击 （3项） 防火 （3项） 防水和防潮 （4项） 防静电 （2项） 温湿度控制 （1项） 电力供应 （4项） 电磁防护 （3项）以第三级为例安全等级控制点要求项 结构安全 （7项） 访问控制 （8项） 安全审计 （4项） 边界完整性检查 （2项） 入侵防范 （2项） 恶意代码防范 （2项） 网络设备

8、防护 （8项）以第三级为例安全等级控制点要求项第一级第二级第三级第四级 身份鉴别 （6项） 访问控制 （7项） 安全审计 （6项） 剩余信息保护 （2项） 入侵防范 （3项） 恶意代码防范 （3项） 系统资源控制 （5项）以第三级为例数据库安全是主机安全的一个部分，数据库的测评指标是从“主机安全”和“数据安全及备份恢复”中根据数据库的特点映射得到的。 身份鉴别 （6项） 访问控制 （7项） 安全审计 （6项） 资源控制 （3项） 备份与恢复（2项）以第三级为例安全等级控制点要求项 一、身份鉴别 （5项） 二、访问控制 （6项） 三、安全审计 （4项） 四、剩余信息保护 (2项) 五、通信完整性

9、 (1项) 六、通信保密性 (2项) 七、抗抵赖 (2项) 八、软件容错 (2项) 九、资源控制 （7项）以第三级为例阶阶段段责责任任单单位位信息系统定级 总体安全规划1.信息系统分析2.安全保护等级确定 安全设计与实施 安全运行与维护 信息系统终止1.风险评估和等保差距分析2.总体安全规划设计（1）安全需求分析（2）总体安全设计（3）安全建设项目规划1.安全方案详细设计2.安全整改建设（1）编制管理制度、流程等文档（2）实施技术措施，进行安全设备调试和系统集成1.安全运维（1）安全巡检（2）渗透测试、安全加固（3）应急响应（4）安全通告2.等级测评1.数据处理2.销毁处理3.迁移、废弃处理业

10、务业务系统系统开发开发责责任任单单位位准备阶段 总体设计1.信息系统分析2.安全保护等级确定 详细设计开发 运行维护1.风险评估2.总体安全规划设计服务（1）安全需求分析（2）总体安全设计（3）安全建设项目规划1.安全方案详细设计2.安全整改建设（1）编制管理制度、流程等文档（2）实施技术措施，进行安全设备调试和系统集成1.安全运维（1）安全巡检（2）渗透测试、安全加固（3）应急响应（4）安全通告2.等级测评1.数据处理2.销毁处理3.迁移、废弃处理准备阶段 总体设计 详细设计与实施运行与维护 系统终止信息系统定级 总体安全规划 安全设计与实施 安全运行与维护 信息系统终止基础基础网络网络建设建设安全安全体系体系建设建设 信息系统终止指导 密码技术 标识与认证技术 授权与访问控制技术 系统安全技术 漏洞扫描技术 漏洞分析技术 安全测评技术 入侵检测技术 应急响应技术 备份恢复技术应当按照信息安全等级保护管理办法要求，从全国信息安全等级保护测评机构推荐目录中选择等级测评机构，对第三级（含）以上重要卫生信息系统进行等级测评。1、测评申请-系统建设整改工作完成后开展测评第三级（含）以上重要卫生信息系统至少应每年进行等级测评。对于重要部门的第二级信息系统，可参照上述要求进行等级测评工作。测评合格后，应当将测评报告向属地公安机关备案，并向属地卫生行政部门报备。2、测评备案测评合格