等级化安全体系设计与实践ppt课件

1、联想联想 信息平安每一天信息平安每一天联想网御科技联想网御科技资深平安顾问资深平安顾问一、国家在信息平安等级维护方面的政策一、国家在信息平安等级维护方面的政策二、联想等级化平安体系设计与实际二、联想等级化平安体系设计与实际q中办发200327号文件q我国第一个全面关于信息平安保证任务的文件，是我国今后一段时期内信息平安保证任务的纲领性文件q总体要求：坚持积极防御、综合防备的方针，全面提高信息平安防护才干，重点保证根底信息网络和重要信息系统平安 q明确提出实行信息平安等级维护制度q公通字200466号文件q主要内容q开展等级维护任务的重要意义q等级维护制度的原那么q等级维护制度的根本内容q等级维

2、护任务职责分工q实施等级维护任务的要求q等级维护任务的实施方案 q电子政务等级维护实施指南试行电子政务等级维护实施指南试行q国信办国信办200525号号 q信息平安等级维护管理方法试行信息平安等级维护管理方法试行q公通字公通字 2006 7号号一、国家在信息平安等级维护方面的政策一、国家在信息平安等级维护方面的政策二、联想等级化平安体系设计与实际二、联想等级化平安体系设计与实际我国信息平安的情势尤为严峻我国信息平安的情势尤为严峻平安的防护才干很弱，平安保证程度不高平安的防护才干很弱，平安保证程度不高信息平安法律法规和规范不完善信息平安法律法规和规范不完善平安人才缺乏平安人才缺乏技术整体上比较落

3、后，严重依赖国外进口技术整体上比较落后，严重依赖国外进口环境环境产业缺乏中心竞争力，竞争不够有序产业缺乏中心竞争力，竞争不够有序产业产业有害信息、病毒和网络攻击和犯罪日趋严有害信息、病毒和网络攻击和犯罪日趋严重重敌对权利的攻击破坏和反动宣传日益猖撅敌对权利的攻击破坏和反动宣传日益猖撅要挟要挟战略目的：建立国家信战略目的：建立国家信息平安保证体系息平安保证体系战略方针：战略方针：积极防御，综合防备积极防御，综合防备27号文件号文件实行等级维护制度实行等级维护制度灾备等根底和支撑性任务灾备等根底和支撑性任务66号文件号文件电子政务等级电子政务等级维护实施指南维护实施指南根本制度和根本方法根本制度和

4、根本方法公安部系列指公安部系列指南和规范南和规范等级化要求等级化要求体系化要求体系化要求我国信息平安的情势尤为严峻我国信息平安的情势尤为严峻平安的防护才干很弱，平安保证程度不高平安的防护才干很弱，平安保证程度不高信息平安法律法规和规范不完善信息平安法律法规和规范不完善平安人才缺乏平安人才缺乏技术整体上比较落后，严重依赖国外进口技术整体上比较落后，严重依赖国外进口环境环境产业缺乏中心竞争力，竞争不够有序产业缺乏中心竞争力，竞争不够有序产业产业有害信息、病毒和网络攻击和犯罪日趋严重有害信息、病毒和网络攻击和犯罪日趋严重敌对权利的攻击破坏和反动宣传日益猖撅敌对权利的攻击破坏和反动宣传日益猖撅要挟要挟

5、平安保证程度较低，落后于业务与平安保证程度较低，落后于业务与IT的开展程度，的开展程度，未能促进或妨碍了业务开展未能促进或妨碍了业务开展平安需求做到什么程度？平安需求做到什么程度？需求多大的投资规模？需求多大的投资规模？如何建立公司级的平安整体机制？如何建立公司级的平安整体机制？CEO平安都需求作什么？平安都需求作什么？如何才干做到长治久安？如何才干做到长治久安？如何分配平安投资？重点是什么？如何分配平安投资？重点是什么？投资和建立的节拍和方案？投资和建立的节拍和方案？平安投资如何才干产生真正效果？平安投资如何才干产生真正效果？CSO等级化要求等级化要求总体投资规模总体投资规模投资战略，突出重

6、点投资战略，突出重点体系化要求体系化要求平安总体体系与机制平安总体体系与机制平安目的与规划平安目的与规划有效性保证与运转有效性保证与运转详细的要求是什么？详细的要求是什么？如何建立和维护？如何建立和维护？如何考核？如何考核？执行者执行者等级化要求等级化要求体系化要求体系化要求27号文件号文件66号文件号文件电子政务等级电子政务等级维护实施指南维护实施指南公安部系列指公安部系列指南和规范南和规范国家的要求国家的要求客户的要求客户的要求CEO的要求的要求CSO的要求的要求执行者的要求执行者的要求等级化平安体系等级化平安体系q理念：等级化平安体系q内涵：q按照国家等级维护制度，协助客户到达体系化的平

7、安保证程度，采用体系化和等级化相结合的方法，为客户建立一套覆盖全面、重点突出、节约本钱、继续运转的平安保证体系。q关键组成部分：等级维护，平安体系q设计方法：等级化、体系化相结合构成的等级化平安体系方法q特质：q整体性：构造化，系统化，内容全面q等级化：突出重点，节省本钱q针对性：针对实践情况，符合业务特性和开展战略q可继续开展：框架相对稳定，内容可继续开展和完善q实施后形状：一套继续运转、涵盖一切平安内容的平安保证体系，是平安任务所追求的最终目的q两者有效结合，构成等级化平安体系设计方法组织战略和业务目的组织战略和业务目的组织总体信息平安目的组织总体信息平安目的平安要求平安要求平安措施平安措

8、施构造体构造体体系化设计方法体系化设计方法维护对象维护对象平安目的平安目的平安措施平安措施等级化等级化等级化设计方法等级化设计方法q根据信息系统的使命与目的和系统重要程度，将系统划分为不同的平安等级，并综合平衡思索系统平安要求、系统所面临平安风险和实施平安措施的本钱，经过调整和定制，构成不同等级的平安措施进展维护 q实行等级维护的目的q满足不同行业、信息化开展阶段、不同层次的平安要求q有利于突出重点q有利于控制平安的本钱什么是平安体系什么是平安体系一组构造化的平安目的和措施用于表述组织的总体平安目的和实现。一组构造化的平安目的和措施用于表述组织的总体平安目的和实现。网网络络基基础础设设施施区区

9、域域边边界界计计算算环环境境平安维护对象框架平安维护对象框架平安根底设备平安根底设备信信息息安安全全保保障障体体系系组织体系组织体系技术体系技术体系运作体系运作体系战略体系战略体系平安对策框架平安对策框架大型系统表述困难：大型系统表述困难：规模庞大：运用众多、地域宽规模庞大：运用众多、地域宽广、用户庞大广、用户庞大构造复杂：运用复杂并相关联，构造复杂：运用复杂并相关联，网络构造复杂，平安要求强度网络构造复杂，平安要求强度和差别化很大和差别化很大信息平安涵盖内容极为广泛信息平安涵盖内容极为广泛层次众多：从物理层到数层次众多：从物理层到数据层，管理、组织、战略、运据层，管理、组织、战略、运转转生命

10、周期：从评价、需求、设生命周期：从评价、需求、设计、规划、实施、运维，到继计、规划、实施、运维，到继续改良续改良体系的构造化体系的构造化框架相对固定，具有稳定框架相对固定，具有稳定性；性；内容相对完好，并可根据内容相对完好，并可根据开展补充和完善开展补充和完善整体整体平安目的平安目的分等级的分等级的维护对象框架维护对象框架体系建立体系建立和运转和运转组织体系组织体系技术体系技术体系运作体系运作体系战略体系战略体系平安要求与对策框架平安要求与对策框架客户的信息资产客户的信息资产定级定级分解分解国家规定国家规定的各等级的各等级平安要求平安要求定制定制分等级的分等级的平安目的平安目的等级化等级化平安

11、体系平安体系评价评价体系体系规划规划体系建立实施体系建立实施体系运转体系运转平安任务平安任务生命周期生命周期方案方案了解现状了解现状价值价值确定目的确定目的和总体笼和总体笼廓廓确定目的实确定目的实现战略和途现战略和途径径加强平安措施，加强平安措施，处理平安问题处理平安问题维护体系运转，维护体系运转，保证平安保证平安确定实现确定实现方法方法评价效力评价效力联想提供联想提供产品效力产品效力体系设计效体系设计效力力规划效力规划效力产品：产品：自有产品自有产品外部采购产品外部采购产品效力：效力：采购、实施、监理效采购、实施、监理效力力咨询效力咨询效力(战略，体系战略，体系推行，培训推行，培训)方案设计

12、方案设计效力效力典型方案典型方案产品售后效力产品售后效力外包效力：外包效力：定期评价定期评价监控与分析监控与分析年年咨询年年咨询体系更新和维体系更新和维护护方案方案1：等级化平安体系处理方案：等级化平安体系处理方案方案方案2：等级维护一体化处理方案：等级维护一体化处理方案q方案1：等级化平安体系处理方案q适用范围：大型和超大型客户q平安要求高、复杂，要求全价值链的效力和产品q联想提供咨询、集成、产品、平安外包等全价值链的处理方案q工程方式：咨询工程集成工程外包工程q方案2：等级维护一体化处理方案q适用范围：中小型客户q平安要求普通、相对简单，要求部分价值链q联想提供精简的咨询、集成和产品的一体

13、化处理方案q工程方式：集成工程售后效力q第一阶段：定级阶段 q第二阶段：规划与设计阶段 q第三阶段：实施、评审与改良阶段 q确定运用系统的平安等级的根本方法是：经过确定系统严密性、完好性和可用性三个方面的平安级别来综合确定系统的平安等级；q系统定级公式：q系统平安等级(A)Max (系统严密性级别) ,(系统完好性级别),(系统可用性级别)q系统严密性级别Max (各信息或效力的严密性级别) q系统完好性级别Max (各信息或效力的完好性级别) q系统可用性级别Max (各信息或效力的可用性级别) q继续监控q平安措施改良q系统重新定级系统调查与评价系统调查与评价南海等级化效力工程南海等级化效

14、力工程分域维护框架分域维护框架建立对象建立对象 资产调查资产调查总体平安建议总体平安建议 电子政务电子政务系统等级划分系统等级划分 建议方案和建议方案和管理规范管理规范运用与业务调查运用与业务调查定级规范定级规范调查系统定级调查系统定级分域设计分域设计网络调整方案网络调整方案平安组织平安组织管理方法管理方法系统风险和平安系统风险和平安措施调查措施调查评价加固方案评价加固方案体系和规划建议体系和规划建议工程报告工程报告序号系统名称三性安全等级系统安全等级保密性等级完整性等级可用性等级1南海区社会保险管理信息系统33332南海区民政局业务系统22223南海区社会保障（市民）卡业务系统22224大社

15、保平台数据中心系统23235南海区社会保险公共服务系统2222序号系统名称三性安全等级系统安全等级保密性等级完整性等级可用性等级1南海区基金收费非税收入系统23232南海区会计结算中心业务系统23233狮山镇财务结算中心系统22224南海区统计局基层统计系统2222q管理体系建立q南海区电子政务平安组织管理方法q南海电子政务网络系统平安规范q南海电子政务互联网效力平安规范q南海电子政务平安业务系统接入规范q南海电子政务系统等级平安措施目的q南海电子政务信息平安应急预案q南海区电子政务平安运转维护作业方案q技术体系建立q网络平安改造与平安域隔离 q周期性平安评价与加固 q政务网平安审计平台 q平

16、安监管中心平台 q电子政务容灾备份中心 q“大社保系统平安建议维护对象维护对象v公司公司v部门部门v系统系统v计算区域计算区域v网络根底设备网络根底设备v边境边境v中心效力器区域中心效力器区域v终端接入区域终端接入区域v第三方接入区域第三方接入区域平安目的平安目的v公司平安目的公司平安目的v部门平安建立目的部门平安建立目的v系统平安建立目的系统平安建立目的平安要求平安要求v性性v完好性完好性v可用性可用性v平安组织平安组织v平安战略平安战略v平安运作平安运作v平安技术平安技术平安措施平安措施v战略战略v处理方案处理方案平安评价与等级划分平安评价与等级划分公司平安体系设计公司平安体系设计公司等级

17、化平安体系设计公司等级化平安体系设计平安组织体系平安组织体系平安运作体系平安运作体系平安规划平安规划平安技术体系平安技术体系平安战略平安战略试点任务试点任务3年平安规划年平安规划公司全面深度平安评价公司全面深度平安评价网管系统平安域划分网管系统平安域划分及原那么规范及原那么规范网管系统等级划分网管系统等级划分及原那么规范及原那么规范1.1.公司平安的使命和目的公司平安的使命和目的-得到平安目的得到平安目的我们的方向是什么？我们的方向是什么？3.3.平安现状平安现状4.4.关键举措和重点任务关键举措和重点任务-得到总体框架和笼廓得到总体框架和笼廓我们做什么？做成什么样子？我们做什么？做成什么样子

18、？-得到任务方案和实施规划得到任务方案和实施规划我们怎样做？我们怎样做？2.2.平安体系总体框架平安体系总体框架5.5.实施战略选择实施战略选择6.6.任务方案任务方案7.7.建立实施建立实施8.8.平安运营和继续改良平安运营和继续改良如今，我们开场作如今，我们开场作成果等级化平安体系的实现成果等级化平安体系的实现平安支撑系统和根底设备平安支撑系统和根底设备第三方一致平安接入平台第三方一致平安接入平台平安研讨与测试实验室平安研讨与测试实验室第三方一致平安接入平台第三方一致平安接入平台全程全网监控和审计平台全程全网监控和审计平台一致鉴别认证平台一致鉴别认证平台终端管理和防病毒集中管理平台终端管理

19、和防病毒集中管理平台第三方一致平安接入平台第三方一致平安接入平台全程全网监控和审计平台全程全网监控和审计平台一致身份鉴别认证平台一致身份鉴别认证平台终端管理和防病毒集中管理平台终端管理和防病毒集中管理平台平安管理运转中心平安管理运转中心全网平安域划分与边境整合全网平安域划分与边境整合网络平安性调整和改造网络平安性调整和改造平安体系核对与改造工程平安体系核对与改造工程技术体系技术体系平安组织体系和岗位职责平安组织体系和岗位职责平安培训与资质认证平安培训与资质认证组织体系组织体系平安战略体系和流程梳理平安战略体系和流程梳理平安战略与流程推行实施平安战略与流程推行实施战略体系战略体系体系推行与年年平

20、安咨询体系推行与年年平安咨询运作体系运作体系年年平安外包效力年年平安外包效力维护对象框架维护对象框架主管指点主管平安主管指点主管平安指点小组组长指点小组组长信息平安指点小组信息平安指点小组业务部门担任人业务部门担任人成员成员平安部门担任人平安部门担任人任务组组长任务组组长管理部门担任人管理部门担任人成员成员部门平安管理员部门平安管理员成员成员部门平安管理员部门平安管理员成员成员平安办公室担任平安办公室担任人人担任人担任人平安管理员平安管理员平安技术员平安技术员信息平安任务组信息平安任务组信息平安办公室信息平安办公室信息平安方针信息平安方针管理规定管理规定任务流程任务流程平安组织人员职责平安组织

21、人员职责技术规范技术规范信息平安体系信息平安体系公司层面公司层面部门平安任务管理方法部门平安任务管理方法部门平安组织人员职责部门平安组织人员职责部门层面部门层面任务表单任务表单运转维护方案运转维护方案应急呼应方案应急呼应方案系统层面系统层面战略体系技术体系运作体系组织体系公司部门系统公司部门系统平安目的防病毒防病毒监控监控审计审计认证认证第三方第三方一致接入一致接入平安域平安域公司层面公司层面访问访问控制控制访问访问控制控制访问访问控制控制主机主机平安平安边境边境隔离隔离数据库数据库平安平安运用运用平安平安平安域平安域边境边境隔离隔离系统层面系统层面平安目的要求平安目的要求PLAN：平安目的要

22、求平安目的要求平安现状平安现状 平安方案建立；维护平安方案建立；维护 Do：平安工程建立平安工程建立平安维护作业平安维护作业1、更新资产补丁、更新资产补丁拓扑拓扑效力等形效力等形状状2、平安事件通报、平安事件通报.3、平安加固、平安加固4、更新平安现状和平安目的要、更新平安现状和平安目的要求差距求差距5、其他、其他.Check：日常平安检查日常平安检查周期性平安评价周期性平安评价1、检查平安目的要求的完、检查平安目的要求的完成形状成形状2、评价平安情况资产形、评价平安情况资产形状；弱点形状，状；弱点形状，3、平安现状能否符合可控、平安现状能否符合可控平安环境平安环境Action：调整平安目的要

23、求调整平安目的要求规划平安工程规划平安工程绩效考核各部门、平安管理员绩效考核各部门、平安管理员平安组织体系和岗位职责平安组织体系和岗位职责平安培训与资质认证平安培训与资质认证平安战略体系和流程梳理平安战略体系和流程梳理平安研讨与测试实验室平安研讨与测试实验室第三方一致平安接入平台第三方一致平安接入平台全程全网监控和审计平台全程全网监控和审计平台一致鉴别认证平台一致鉴别认证平台终端管理和防病毒集中管理平台终端管理和防病毒集中管理平台全网平安域划分与边境整合全网平安域划分与边境整合平安管理运转中心平安管理运转中心平安战略与流程推行实施平安战略与流程推行实施年年平安咨询与外包效力年年平安咨询与外包效