CISP培训和等级保护介绍

1、联想网御2008年工作计划目录目录 安全服务产品线安全服务产品线 CISP培训及典型案例培训及典型案例 公司公司CISP培训政策培训政策 目前的等级保护进展目前的等级保护进展 公司等保优势公司等保优势 定级测评后等保服务定级测评后等保服务 等保典型案例等保典型案例安全服务产品线联想网御2008年工作计划目录目录 安全服务产品线安全服务产品线 CISP培训及典型案例培训及典型案例 公司公司CISP培训政策培训政策 目前的等级保护进展目前的等级保护进展 公司等保优势公司等保优势 定级测评后等保服务定级测评后等保服务 等保典型案例等保典型案例4培训服务业务的目标及定位培训服务业务的目标及定位q 培养

2、高素质信息安全人才，助力提升我国各政府机构及企事业单位信息系统的安全保障水平q 基于联想领先的信息安全顾问咨询经验和专业培训运作经验，面向客户提供权威、实用的、专业的信息安全培训服务业务目标业务目标培训服务的位置5评估评估体系体系规划规划体系建设实施体系建设实施体系运行体系运行客户角度客户角度价值价值提高安全意识、统一认识、推动体系、提高安全维护保障和审计的技能提高安全意识、统一认识、推动体系、提高安全维护保障和审计的技能提高意识统一认识方案方案宣贯体系推动体系提高安全维护保障和审计的技能6培训课程体系培训课程体系LCTCLCTCCISPCISP注册信息安全专业人员注册信息安全专业人员(Cer

3、tified Information Security Professional)CISECISECISOCISOCISACISA联想信息安全培训中心联想信息安全培训中心(Lenovo Security Training Center)注册信息安全工程师注册信息安全工程师(Certified Information Security Engineer)注册信息安全管理人员注册信息安全管理人员(Certified Information Security Officer)注册信息安全审核员注册信息安全审核员(Certified Information Security Auditor)定制培训定

4、制培训LSPELSPE联想认证安全产品工程师联想认证安全产品工程师(Lenovo Certified Security Product Engineer)CISMCISM注册信息安全员注册信息安全员(Certified Information Security Member)可根据实际需要选择任意信息安全培训课程可根据实际需要选择任意信息安全培训课程8CISPCISP培训培训 “注册信息安全专业人员注册信息安全专业人员”Certified Information Security Professional，简称，简称CISP，是，是(Engineer、Officer、Auditor) 统称统称

5、 背景背景 1、中国信息安全产品测评认证中心实施国家认证、中国信息安全产品测评认证中心实施国家认证 2、是国家对人员资质的最高认可、是国家对人员资质的最高认可 3、相关机构必备的信息安全管理、技术人员、相关机构必备的信息安全管理、技术人员9 推出机构推出机构 课程费用课程费用 认证程序认证程序 课程内容课程内容 目前通过认证的人数以及人员构成特点目前通过认证的人数以及人员构成特点 前景前景 CISPCISP培训培训CISP费用测评中心规定的统一价格 全部费用12800元/人联想网御收取注册培训费9800元/人，包括培训费、教材费、授权管理费、培训期间的午餐费（不含学员住宿费和其他餐费），由联想

6、网御开具发票测评中心收取的费用3000元/人，包括考试费1000元/人，认证费500元/人，注册费和注册维持费1500元/人/3年，由测评中心开具发票认证流程认证流程未通过未通过未通过不符合要求咨 询注册申请缴纳费用证书发放证后监督考试资质审核参加考试注册资质审核申 请 者12CISE课程主要内容课程主要内容 信息安全保障体系信息安全保障体系 信息安全理论信息安全理论 信息安全技术信息安全技术 信息安全管理信息安全管理 信息安全标准与法律法规信息安全标准与法律法规CISPCISP培训培训13信息安全理论（1.5天）信息安全保障体系信息安全模型信息安全测评认证信息安全技术（6天）密码技术网络与通

7、信安全防火墙入侵检测技术VPNPKI/CAUNIX安全管理Windows安全管理数据库安全管理恶意代码安全编程安全工程及管理（4.5天）安全管理体系风险评估安全工程应急响应灾难备份和恢复安全攻防物理安全安全标准和法规（1.5天）信息安全标准信息安全法律法规考试（0.5天）考试信信息息安安全全工工程程师师14信息安全理论（2天）信息安全概述信息安全保障体系信息安全模型信息安全测评认证信息安全技术（4天）密码技术网络与通信安全防火墙入侵检测技术VPNPKI/CA系统安全管理恶意代码安全工程及管理（6天）信息安全管理体系风险评估安全工程应急响应灾难备份和恢复安全攻防物理安全安全标准和法规（1.5天）

8、信息安全标准信息安全法律法规考试（0.5天）考试信信息息安安全全管管理理人人员员目前通过认证的人数特点目前通过认证的人数特点 1千多 早期特点 中期特点 现在特点前景 国内第一 国内外培训产品竞争激烈17CISP成功案例成功案例九期共九期共160多人多人CISP 培训培训 通过率通过率90%以上以上 公司品牌推广公司品牌推广 客户关系维系客户关系维系联想网御2008年工作计划目录目录 安全服务产品线安全服务产品线 CISP培训及典型案例培训及典型案例 公司公司CISP培训政策培训政策 目前的等级保护进展目前的等级保护进展 公司等保优势公司等保优势 定级测评后等保服务定级测评后等保服务 等保典型

9、案例等保典型案例公司公司CISP培训政策培训政策 调整政策背景调整政策背景 鉴于08年中国信息安全产品测评中心（以下简称测评中心）授权培训管理费的调整，经安全服务部研究讨论和公司领导批准，为规范和鼓励开展CISP培训工作，特下发联想网御安全服务CISP培训管理规定公司公司CISP培训政策培训政策 开班条件开班条件 北京开班人数不低于10人，在外地开班人数不低于12人 如不够开班人数，则所报人员顺延到满足开班条件时开班 如遇到特殊情况（如奥运，两会等），开班时间另行通知公司公司CISP培训政策培训政策 培训形式培训形式 开班时间为每年3月、6月、9月、12月上旬在北京主办CISP培训 外地不受固

10、定时间限制，只受开班条件限制；如果有满足开班条件且急需培训的，各地均可随时向北京申请开班公司公司CISP培训政策培训政策 优惠与鼓励措施优惠与鼓励措施 在北京开班培训人数10人时，按注册培训费原价收取 第11人到第15人注册培训费九折优惠 第16人到第20人注册培训费八折优惠 第21人以上注册培训费按7000元/人收取（相当于七点一折优惠） 在外地开班培训时，相当于在北京开班培训人数基础上增加2人，既可以享受以上各段折扣优惠。 低于以上注册培训费折扣价格时，需要根据公司现有相关流程审批 考试费、认证费和年金（共计3000元/人）由测评中心收取的固定费用，没有任何折扣公司公司CISP培训政策培训

11、政策 特殊说明特殊说明 为维护大客户关系或为推动大工程项目销售而需要赠送CISP培训时，根据所需培训的具体人数，由发起人按公司现有相关流程审批，并按第前面规定单独核算安全服务部所创造的销量联想网御2008年工作计划目录目录 安全服务产品线安全服务产品线 CISP培训及典型案例培训及典型案例 公司公司CISP培训政策培训政策 目前的等级保护进展目前的等级保护进展 公司等保优势公司等保优势 定级测评后等保服务定级测评后等保服务 等保典型案例等保典型案例目前的等级保护进展目前的等级保护进展 定级完毕 测评在进行中 怎样具体整改? 政策真空期联想网御2008年工作计划目录目录 安全服务产品线安全服务产

12、品线 CISP培训及典型案例培训及典型案例 公司公司CISP培训政策培训政策 目前的等级保护进展目前的等级保护进展 公司等保优势公司等保优势 定级测评后等保服务定级测评后等保服务 等保典型案例等保典型案例公司等保优势公司等保优势 参与国家标准编写，与主管部门关系融洽 承担国家试点工作，树立了等级保护标杆 符合国家政策要求，形成等级保护方法论 总结试点实施经验，精炼等级保护知识库 多年专业服务历程，储备了大量专家顾问 完整服务体系资质，保障了服务可信可靠按需防御的等级保护基于丰富的安全定级知识库、风险评估知识库和安全体系知识库为理论基础，以等级化支撑平台为支撑，以等级安全体系为架构，以安全需求为

13、导向，通过专业安全服务和高性能安全产品，保证安全定级合理准确、体系建设科学规范、安全运维持续稳定。 等级化安全体系核心技术核心技术核心技术安全定级知识库安全定级知识库风险评估知识库风险评估知识库安全体系知识库安全体系知识库等级化支撑平台等级化支撑平台核心技术-安全定级知识库信息系统定级是实施等级保护的首要步骤，是明确信息系统重要程度和安全目标的有效方法。安全定级知识库通过细化的定级要素和科学的定级算法，保证不同行业、不同类型信息系统定级的合理准确。 系统分类库：系统分类库：第一层针对行业特点分类第二层针对应用特点分类定级要素库：定级要素库：通用定级要素行业定级要素系统分类定级要素等级算法库：等

14、级算法库：S&I算法：系统服务保证性和业务信息安全性制定的等级算法CIA算法：保密性、完整性、可用性制定的等级算法报告模版库：报告模版库：通用等级报告模版行业等级报告模版定级备案模版核心技术-风险评估知识库联想网御与国家信息中心共同成立了风险评估联合实验室，总结国内外相关标准和最佳实践，结合多个风险评估项目的实施经验形成了风险评估知识库。风险评估知识库可以为安全风险评估和等级评估提供支持。风险评估知识库通过及时更新的资产漏洞库、全面的威胁信息库和规范的评估方法，保证风险评估工作的客观全面。 资产漏洞库：资产漏洞库：用于分析系统安全弱点覆盖全面，大多数品牌的各类主机、网络产品威胁信息库：

15、威胁信息库：是基于威胁来源、威胁途径、威胁手段的安全威胁资源库，用于分析系统安全威胁 评估方法库：评估方法库：是风险评估各阶段评估方法、评估流程、检查列表库 报告模版库：报告模版库：是评估过程各阶段报告模版库核心技术-安全体系知识库安全体系是实现等级保护的基础框架。联想网御总结了多年安全体系咨询和等级保护项目的实施经验，结合国家和行业相关信息安全指标，形成了安全体系知识库。安全体系知识库以分级分域为核心思想，采用等级化和体系化的方法，保证信息安全体系科学规范。 分类方法：分类方法：第一层针对行业特点分类第二层针对应用特点分类第三层针对安全等级分类第四层针对单元类型分类各指标库包含内容：各指标库

16、包含内容：等级安全指标测评方法解决方法适用产品体系模版包含内容：体系模版包含内容：体系架构设计模版安全区域设计模版产品解决方案模版各类操作手册模版各类制度模版联想网御2008年工作计划目录目录 安全服务产品线安全服务产品线 CISP培训及典型案例培训及典型案例 公司公司CISP培训政策培训政策 目前的等级保护进展目前的等级保护进展 公司等保优势公司等保优势 定级测评后等保服务定级测评后等保服务 等保典型案例等保典型案例等级化安全体系实施流程等级保护安全要求分析？物物理理安安全全技术手段解决技术手段解决安安全全加加固固管理手段解决管理手段解决等级保护安全要求等级保护安全要求10个单元个单元网网络

17、络安安全全主主机机安安全全应应用用安安全全数据及数据及备份恢备份恢复复管理管理要求要求5个单个单元元安安全全产产品品审审核核表表单单安安全全制制度度怎样依据等级完成等级保护建设？风险评估风险评估信息系统安全需求信息系统安全需求安全管理解决安全管理解决等级测评等级测评安全加固解决安全加固解决安全产品解决安全产品解决达到系统等级要求达到系统等级要求信息系统定级信息系统定级2级系统解决方案按需防御的等级保护解决方案按需防御的等级保护解决方案建设阶建设阶段段适用安适用安全等级全等级方案名称方案名称主要安全目标主要安全目标产品配置产品配置2级系统体系建设2级二级系统边界安全解决方案互联网边界访问控制外联

18、网访问控制网关防病毒网络入侵检测防火墙入侵检测系统防病毒网关综合安全网关2级二级系统内网安全解决方案桌面防病毒补丁分发管理周期性风险评估加固（每年1次）终端管理补丁管理安全加固日志分析2级二级系统应用安全解决方案应用健康监控数据存储备份安全审计应用安全管理2级二级系统安全管理解决方案设备安全监控日志审计部署定期发布正式安全策略安全策略设计3级系统解决方案按需防御的等级保护解决方案按需防御的等级保护解决方案建设阶段建设阶段适用安全等级适用安全等级方案名称方案名称主要安全目标主要安全目标产品配置产品配置3级系统体系级系统体系建设建设3级级三级系统边界安全三级系统边界安全解决方案解决方案互联网边界访

19、问控制互联网边界访问控制外联网访问控制外联网访问控制内网区域隔离访问控制内网区域隔离访问控制网络加密传输网络加密传输网关防病毒网关防病毒网关防垃圾邮件网关防垃圾邮件网络入侵检测网络入侵检测网络入侵防护网络入侵防护网络抗网络抗DDos防火墙防火墙网络密码机网络密码机入侵检测系统入侵检测系统防病毒网关防病毒网关入侵防护系统入侵防护系统安全隔离网闸安全隔离网闸综合安全网关综合安全网关3级级三级系统内网安全三级系统内网安全解决方案解决方案可信终端管理可信终端管理桌面防病毒桌面防病毒补丁分发管理补丁分发管理周期性风险评估加固（每半年周期性风险评估加固（每半年1次）次）终端管理终端管理补丁管理补丁管理风险

20、评估风险评估安全加固安全加固日志分析日志分析3级级三级系统应用安全三级系统应用安全解决方案解决方案用户身份双因素认证用户身份双因素认证应用健康监控应用健康监控数据库审计数据库审计数据存储备份数据存储备份定期渗透性测试（每半年定期渗透性测试（每半年1次）次）CA数字证书系统数字证书系统安全审计安全审计应用安全管理应用安全管理渗透性测试渗透性测试3级级三级系统安全管理三级系统安全管理解决方案解决方案设备安全监控设备安全监控日志审计部署日志审计部署设备集中管理设备集中管理集中策略分发集中策略分发定期发布及更新文档化的正式定期发布及更新文档化的正式安全策略安全策略安全管理系统安全管理系统安全策略设计安

21、全策略设计评估定级服务组件评估定级服务组件评估定级服务组件分类分类服务组件服务组件描述描述输出输出评估定级评估定级服务服务风险评估通过对系统中主机安全、网络安全、应用安全、安全管理等方面的评估，发现系统的安全风险和安全现状。风险评估报告安全需求分析报告系统定级划分系统的安全域架构，分析系统业务特性和信息特性制定定级规则，确定系统的安全保护等级。系统定级报告等级评估以等级安全指标要求为基线，评估系统当前的安全措施与等级要求之间的差距。等级评估报告体系设计服务组件按需防御的等级保护服务组件按需防御的等级保护服务组件分类分类服务组件服务组件描述描述输出输出等级安全等级安全体系设计体系设计服务服务等级

22、安全体系框架设计根据客户现状和发展趋势要求，通过识别信息资产和建立分级分域的保护对象框架，设计各等级安全指标，构建机构整体信息安全体系。等级安全体系框架建议等级保护安全技术方案设计根据客户现状和发展趋势要求，为用户提供完整全面的安全建议，形成全面解决方案和实施指南，从而对安全风险进行有效控制。等级保护解决方案建议等级保护安全管理方案设计根据用户安全现状和发展趋势要求，指导客户设计对包括敏感信息在内的信息资产进行管理、保护和利用的规则，制订各类安全管理制度、标准、规范、流程等策略文件。等级保护安全管理制度建议等级保护安全规划设计分析客户安全需求得出安全控制措施，并对安全控制的相关性、紧迫性、可实

23、施性、难易程度和预期效果等进行分析，对客户未来3-5年信息安全工作进行规划。等级保护体系安全规划建议安全运维服务组件按需防御的等级保护服务组件按需防御的等级保护服务组件分类分类服务组件服务组件描述描述输出输出安全运维安全运维服务服务安全预警采用安全通告等方式，在大规模病毒、网络攻击等爆发之前，发布安全预警信息，提前做好安全防范。安全预警通告安全监控结合人工与工具平台的分析方法，对主机设备、安全设备等进行监控，找到当前系统及设备存在的隐患和被攻击痕迹，并提出的问题提供修补建议。安全监控报告安全加固通过定期的安全巡检，进行漏洞检查、补丁管理、安全加固等工作，防范系统因安全漏洞导致安全风险。安全加固

24、报告安全审计通过采集关键服务器、防火墙、路由器、交换机等设备的日志，进行日志分析和恶意行为取证。安全审计报告应急响应在安全事件发生后迅速采取措施和行动，快速恢复系统的保密性、完整性和可用性，降低安全威胁事件给组织带来的严重影响。应急响应报告联想网御2008年工作计划目录目录 安全服务产品线安全服务产品线 CISP培训及典型案例培训及典型案例 公司公司CISP培训政策培训政策 目前的等级保护进展目前的等级保护进展 公司等保优势公司等保优势 定级测评后等保服务定级测评后等保服务 等保典型案例等保典型案例等级保护服务案例清单 序号序号案例名称案例名称1广东省电子政务等级保护试点项目广东省电子政务等级

25、保护试点项目2农业部信息系统安全定级服务项目农业部信息系统安全定级服务项目3徐州市地税系统等级保护试点项目徐州市地税系统等级保护试点项目4天津市电子政务等级保护试点项目天津市电子政务等级保护试点项目5江门市电子政务等级保护试点项目江门市电子政务等级保护试点项目6天津市电子政务等级保护服务项目天津市电子政务等级保护服务项目7佛山市电子政务等级保护服务项目佛山市电子政务等级保护服务项目8南海电子政务等级保护服务项目南海电子政务等级保护服务项目9北京移动等级化安全体系咨询项目北京移动等级化安全体系咨询项目10中国农业银行等级化体系服务项目中国农业银行等级化体系服务项目等级保护对业务价值Page 43

26、 of 121：符合国家法律和政策政策要求，避免法律风险：符合国家法律和政策政策要求，避免法律风险3：体现组织利益，投资节省，实现重点保护：体现组织利益，投资节省，实现重点保护4：安全工作规范化，安全工作思路清晰：安全工作规范化，安全工作思路清晰5：精细化安全管理，全面提高信息安全保障水平：精细化安全管理，全面提高信息安全保障水平2：符合行业需求，保护合作伙伴利益：符合行业需求，保护合作伙伴利益6：扩大服务范围、提搞服务质量、增强客户满意度：扩大服务范围、提搞服务质量、增强客户满意度7：提高企业声誉：提高企业声誉,增强竞争力增强竞争力8：促进区域、部门合作，知识资本发挥最大效益：促进区域、部门

27、合作，知识资本发挥最大效益等级保护试点工作内容系统调查与评估系统调查与评估等级化服务项目等级化服务项目分域保护框架分域保护框架建设对象建设对象 资产调查资产调查总体安全建议总体安全建议 电子政务电子政务系统等级划分系统等级划分 建议方案和建议方案和管理规范管理规范应用与业务调查应用与业务调查定级规范定级规范调查系统定级调查系统定级分域设计分域设计网络调整方案网络调整方案安全组织安全组织管理办法管理办法系统风险和安全系统风险和安全措施调查措施调查评估加固方案评估加固方案体系和规划建议体系和规划建议项目报告项目报告风险评估知识库应用举例风险评估知识库应用举例系统调查评估电子政务定级规范细化定级过程

28、定级结果示例分域保护网络安全性改造与安全域解决方案示例安全解决方案 管理体系建设p 电子政务安全组织管理办法p 电子政务网络系统安全规范p 电子政务互联网服务安全规范p 电子政务安全业务系统接入规范p 电子政务系统等级安全措施指标p 电子政务信息安全应急预案p 电子政务安全运行维护作业计划 技术体系建设p 网络安全改造与安全域隔离 p 周期性安全评估与加固 p 政务网安全审计平台 p 安全监管中心平台 p 电子政务容灾备份中心 等级保护管理制度示例安全体系规划安全体系规划某大型通信企业等级化安全体系咨询项目某大型通信企业等级化安全体系咨询项目如何开展等级保护工作Page 57 of 121.1

29、.全面评估现有系统全面评估现有系统2.2.制定符合组织特点的等级制定符合组织特点的等级划分规则并定级划分规则并定级3.3.制定公司级安全制度和三年安全规划制定公司级安全制度和三年安全规划1.1.制定部门级安全制度制定部门级安全制度2.2.解决风险评估技术问题解决风险评估技术问题3.3.实施部分技术改造实施部分技术改造4.4.设计信息安全管理平台设计信息安全管理平台1.1.全面推广公司安全策略全面推广公司安全策略2.2.安全运维工作外包安全运维工作外包3.3.完善信息安全管理平台完善信息安全管理平台全面了解组织全面了解组织IT资产资产和业务流程和业务流程确定保护重点对象和内容确定保护重点对象和内

30、容确定公司的安全政策确定公司的安全政策完成安全域改造完成安全域改造完成全网审计完成全网审计完成操作性制度完成操作性制度安全培训推广安全制度安全培训推广安全制度运维外包完成风险转移运维外包完成风险转移平台建立实现安全信息管理平台建立实现安全信息管理等级化安全体系解决方案设计流程保护对象保护对象v公司公司v部门部门v系统系统v计算区域计算区域v网络基础设施网络基础设施v边界边界v核心服务器区域核心服务器区域v终端接入区域终端接入区域v第三方接入区域第三方接入区域安全目标安全目标v公司安全目标公司安全目标v部门安全建设目标部门安全建设目标v系统安全建设目标系统安全建设目标安全要求安全要求v机密性机密

31、性v完整性完整性v可用性可用性v安全组织安全组织v安全策略安全策略v安全运作安全运作v安全技术安全技术安全措施安全措施v策略策略v解决方案解决方案等级保护成果风险评估（直接效果）网络系统评估网络边界不清晰，非法连接无法查证安全域设计与边界整合；MSDN上马应用系统评估发现大量系统漏洞，涉及公司策略、流程和人员组织流程、标准、指南涉及；运维外包资产调查建立公司资产信息库，形成基线信息安全资产管理平台Page 59 of 12等级保护的成果-安全组织Page 60 of 12主管领导（主管安全）领导小组组长Xx部门负责人成员Xx部门负责人成员Xx部门负责人成员Xx部门负责人工作组组长Xx部门负责人成员Xx系统管理员成员Xx系统管理员成员Xx系统管理员成员Xx系统管理员办公室负责人Xx系统管理员成员安全管理员安全技术员信息安全办公室安全组织在公司中安全组织在公司中地位得到确认地位得到确认等级保